E-04787-2015

1/4 Expediente Nº: E/04787/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el SERVICIO GALEGO DE SAUDE (SERGAS), en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 3 de marzo de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que denuncia que, la Dirección de enfermería de la Gerencia de Gestión Integrada de Santiago de Compostela, donde ella presta sus servicios como matrona, ha estado accediendo a su historial médico personal, para una supuesta mejor gestión de los recurso humanos. Con fecha 11 de mayo de 2015, el Director de la Agencia resolvió no incoar actuaciones inspectoras. Con fecha 17 de junio de 2015, tuvo entrada en esta Agencia recurso de reposición ante la resolución del Director de la Agencia, fundamentándolo en el hecho de qué planteó consulta sobre los hechos denunciados al SERGAS, sin haber obtenido respuesta. Se estimó el recurso y se iniciaron Actuaciones Previas de Investigación. SEGUNDO: Tras la estimación del recurso, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Con fechas 5 de octubre de 2015 y 13 de noviembre de 2015, se recibe en esta Agencia escrito del Complejo Hospital Universitario de Santiago de Compostela, en el que se pone de manifiesto que: 1.
2. Examinados sus archivos no consta respuesta a la solicitud de información de estos hechos, presentada por la denunciante con fecha 26/03/
3. 1.
4. Se adjuntan informes de citas reprogramadas, con las fechas siguientes: 1.2.1.Con fecha 28/06/2013 se graba una cita para el 14/02/2014, pero fue reprogramada por Doña B.B.B. el 29/01/2014 por motivo de Cursos, Congresos, Sesiones clínicas, para el 21/02/
5. 1.2.2.La cita del día 23/04/2014 se anula una cita a solicitud del paciente.
6. Con fecha 26 de noviembre de 2015, se recibe en esta Agencia escrito de la Conselleria de Sanidade de la Xunta de Galicia, en el que, entre otros aspectos, informa que: 2.
7. Los accesos realizados con objeto de cambiar fechas de citas de Dña. A.A.A...., están permitidos sin autorización del titular, amparados en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 2.
8. Que el tratamiento fue realizado por personal del SERGAS de administración y gestión del Servicio de Admisión de este Hospital. Que los accesos para estas categorías están permitidos por el artículo 16 de la Ley 41/2002, de 145 de noviembre, básica reguladora de la autonomía del Paciente y de derechos y obligaciones en materia de información y documentación clínica y el artículo 9.-acceso por el personal de gestión y servicios- del decreto 29/2009 de 5 de febrero, por el que se regula el uso y acceso a la historia clínica. 2.
9. El Hospital Clínico Universitario de Santiago a su vez tiene que cumplir el artículo 18.3 de la ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica. Derechos de acceso a la historia clínica que dice literalmente: “El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en el acceso a la historia clínica de Doña A.A.A., matrona del SERGAS; por parte de la Dirección de Enfermería de la Gerencia de Gestión Integrada de Santiago de Compostela, con la finalidad de cambiar sus citas médicas particulares para una mejor gestión de los recursos humanos. Solicitó expresamente al SERGAS que cesasen tales intromisiones y no ha recibido respuesta. Concluye la denuncia indicando que con los hechos relatados se ha producido una cesión ilícita de sus datos por parte del SERGAS a la Dirección de Enfermería de la Gerencia de Gestión Integrada de Santiago de Compostela. La LOPD considera los datos de salud como especialmente protegidos. Así, el artículo 7.3 establece: “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.” El artículo 8 de la LOPD, referido específicamente a los datos de salud, indica: “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” La historia clínica viene regulada por la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. En su artículo 16, apartado 4 establece: “
10. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.” Por otro lado, el Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica en la Comunidad Autónoma de Galicia, en el artículo 9º se refiere al acceso a la historia clínica por el personal de gestión y servicios, determinando: “El sistema IANUS permitirá el acceso a la información contenida en la historia clínica electrónica al personal de gestión y servicios. El acceso mencionado estará restringido a los datos imprescindibles para el ejercicio de sus funciones en relación con su puesto de trabajo, y respetará el derecho a la intimidad personal y familiar de los/as pacientes o usuario/as.” En consecuencia, existe una Ley que habilita el acceso a la historia clínica para la gestión de los recursos. Por tanto, no se precisaría el consentimiento del afectado para la realización de tales accesos por el personal de administración y gestión, si bien limitado a los datos necesarios para el ejercicio de sus funciones. El SERGAS sería el Servicio responsable de determinar si los accesos han excedido los datos necesarios para el ejercicio de las funciones encomendadas. Y en su respuesta ha indicado que no precisa el consentimiento de la denunciante los accesos realizados. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
11. PROCEDER AL ARCHIVO de las presentes actuaciones.
12. NOTIFICAR la presente Resolución al SERVICIO GALEGO DE SAUDE (SERGAS) y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es