1/7 Expediente Nº: E/03615/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas [de oficio] por la Agencia Española de Protección de Datos ante Dª. B.B.B., en virtud de denuncia presentada por Dª. A.A.A. y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 6 de mayo de 2015, tiene entrada en esta Agencia un escrito de A.A.A., en el que denuncia que, personas ajenas han accedido a su historia clínica, ya que ha venido notando irregularidades en cuanto a modificaciones en sus datos personales no solicitados por ella. Tuvo constancia a través de su médico de cabecera quien le manifestó que en su ficha constaban dos centros de salud, uno de ellos, al que no pertenece, era el de Rodríguez Paterna, en el que trabaja su excuñada, Dª. B.B.B., quien, según consta en la documentación adjunta, ha accedido a su historia clínica en agosto de 2014, no teniendo motivo para acceder a su historia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 22 de julio de 2015, se recibe en esta Agencia escrito del Hospital de San Pedro, en el que pone de manifiesto que: 1.1. La modificación de datos personales está ligado a la Tarjeta Sanitaria pasando automáticamente a la Historia Clínica. Estos se producen cuando un paciente pasa a otro Centro de Salud o se unifican en una sola Historia que antes tuviera en varios centros. En el caso de la denunciante, constan diferentes Actualizaciones en el periodo comprendido entre el 11/01/2013 y el 15/04/2015. 1.2. Se adjunta el listado de las personas que han accedido a su historia, entre las que se encuentra Dª. B.B.B. con fecha 28/08/2014 constando como acción “Obtener datos básicos”, estas funciones están incluidas dentro de las funciones que desarrollan habitualmente. Con fecha 22 de septiembre de 2015, tiene entrada en esta Agencia escrito del Gerente del Área de Salud de la Rioja, con el que adjunta un Informe de la Tarjeta Sanitaria en el que se pone de manifiesto que: Las variaciones de datos personales de filiación, residencia y centro de salud, se gestionan por medio del personal administrativo de los Centros de Salud y de la Gerencia del Servicio (Unidad de Tratamiento de Tarjeta Sanitaria). La aplicación que gestiona los datos básicos permite modificar el domicilio y no tiene control de accesos. Tiene control de las modificaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Se adjunta listado de diferentes cambios, no obstante, ninguno de ellos ha sido realizado por la Sra. B.B.B.. Para realizar dichos cambios el auxiliar administrativo, debe solicitar documentación de empadronamiento y DNI. Asimismo, con el escrito se adjunta declaración de la Sra. B.B.B. suscrita por ésta, en la que manifiesta que, dado el tiempo trascurrido, es imposible recordar el acceso del mes de agosto de 2014. Manifestando que si no fue realizado por motivos relacionados con el trabajo que desempeña, solo pudo producirse por error o causas ajenas a su voluntad. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. Su artículo 7, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último en su artículo 16 determina cuales son los “Usos de la historia clínica”: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico asistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” La denunciante ha manifestado, en escrito dirigido a esta Agencia, que personas ajenas han accedido a su historia clínica porque ha venido notando irregularidades en las modificaciones de sus datos personales no solicitadas por ella. Manifiesta también que ha tenido constancia por su médico de cabecera de que en su ficha constan dos centros de salud, siendo uno de ellos en el que trabaja su excuñada quien ha accedido a su historia clínica en agosto de 2014 sin que tenga motivo para ello, según manifiesta la denunciante. Aporta con su escrito una relación de las 11 personas que han accedido a su historia clínica electrónica desde enero de 2013 del Servicio de Documentación clínica del Hospital San Pedro del Servicio Riojano de Salud, entre quienes figura el acceso de la persona mencionada en el escrito de denuncia. Solicitada información por la Inspección de esta Agencia, la Directora del Área de Salud del Servicio Riojano de Salud informa de lo siguiente: de las modificaciones realizadas en los datos de la paciente, de los accesos a la historia de la paciente por los médicos de medicina familiar con indicación de que sus “acciones están incluidas en las funciones que habitualmente desarrollan en sus puestos de trabajo”, informa de los accesos a la historia de la paciente de las enfermeras de atención primaria indicando que todas ellas han intervenido en la asistencia de la paciente y que sus “acciones están incluidas en las funciones que habitualmente desarrollan en sus puestos de trabajo y en las fechas citadas”, entre ellas figura la enfermera mencionada en su escrito de denuncia, y por último aportan los accesos de los Administrativos de atención primaria con indicación de que “todas ellas han accedido a la historia de la paciente para realizar acciones propias de su perfil”. Con fecha de septiembre de 2015, el Gerente del Área de Salud del Servicio Riojano de Salud informa sobre las modificaciones de datos de la denunciante y del acceso de la trabajadora mencionada en el escrito de denuncia. Aporta la Gerencia del Servicio Riojano de Salud, una declaración de la persona mencionada en el escrito de denuncia en el que manifiesta que por el tiempo transcurrido no puede recordar el acceso que se menciona y que si no fue por motivos relacionados con el trabajo que se desempeña, solo pudo ser por error o causas ajenas a su voluntad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Aporta también la Gerencia un informe elaborado por el Responsable de la Tarjeta Sanitaria de la Rioja sobre las variaciones en los datos de la paciente. En este informe se expone lo relativo a los programas utilizados para la gestión de la base de datos poblacional y para la gestión de la información clínica. Se aporta la relación de personas que han realizado modificaciones en la ficha de la paciente, entre las que no figura la persona mencionada en el escrito de denuncia. Expone en su escrito el responsable de la Tarjeta Sanitaria de la Rioja, que no consta que la persona de la que se solicita información, la mencionada en el escrito de denuncia, disponga de usuario autorizado para acceder al programa de gestión de la base de datos poblacional que es el que gestiona los datos personales de la Tarjeta Sanitaria. Visto lo actuado por la Inspección de esta Agencia, se concluye que el Servicio Riojano de Salud ha facilitado justificación bastante de los accesos a la historia clínica de la afectada en el presente procedimiento y de las modificaciones en sus datos personales. En particular, respecto de la denuncia del acceso de una persona en concreto, la Directora del Área de Salud del Servicio Riojano de Salud ha informado que, sobre los accesos realizados a la historia de la paciente de las enfermeras de atención primaria, que todas ellas han intervenido en la asistencia de la paciente y que sus “acciones están incluidas en las funciones que habitualmente desarrollan en sus puestos de trabajo y en las fechas citadas”, entre las enfermeras figura la persona mencionada en el escrito de denuncia. En definitiva en el presente caso se considera que el Servicio Riojano de Salud ha aportado justificación bastante de los accesos realizados a los datos personales de su paciente, denunciante en este procedimiento, por lo que este caso se encuentra entre los supuestos que excepcionan el consentimiento para el tratamiento de los datos personales de la denunciante previstos en el apartado 6 del artículo 7 de la LOPD, cuando expone que podrán ser objeto de tratamiento los datos de carácter personal relativos a la salud cuando dicho tratamiento “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”, por ello, se considera que no se aprecia vulneración de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Dª. B.B.B. y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es