1/7 Procedimiento Nº: E/05619/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, la reclamante) tiene entrada con fecha 24 de septiembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el SERVICIO ANDALUZ DE SALUD, con NIF Q9150013B (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis, los siguientes: La reclamante solicita la cancelación de sus datos que constan en el Hospital Regional Universitario de Málaga; en concreto, solicita que se suprima lo referente al tratamiento psicológico, hormonal y quirúrgico debido a la reasignación de género, que se efectuó en el Hospital Carlos Haya de Málaga, entre los años 2007 y 2012, y todo lo relativo a su anterior género que persiste en los archivos de la Seguridad Social y en el Hospital Regional. Ya solicitó la cancelación al Servicio Andaluz de Salud, que se lo denegó. Efectuó la misma solicitud al Hospital Puerta del Mar de Cádiz, sin que haya recibido respuesta. Se ha sometido a una reasignación de sexo que se resolvió en el registro civil, en fecha 5 de mayo de 2010. Por ello, ha venido solicitando la cancelación de todos los datos de la historia clínica derivados de ese proceso. Se ha denegado su solicitud aduciendo que los datos no son inexactos; pero su mantenimiento vulnera su honor, conforme la Ley Orgánica 1/1982. De acuerdo con el RGPD, en su artículo 17 se recoge ese derecho a suprimir sus datos cuando ya no son necesarios para las finalidades para las que se recogieron; el interesado retire el consentimiento; o se oponga al tratamiento y no haya otros motivos legítimos para tratarlos. Ya solicitó en la Agencia Española de Protección de Datos la cancelación de los datos que ahora reitera y se inadmitió su reclamación. Acudió a la Audiencia Nacional que estimó parcialmente su reclamación señalando que no había transcurrido el tiempo establecido en la Ley de Autonomía del Paciente para proceder a su cancelación. Ahora que ya han transcurrido los 5 años establecidos en la Ley, solicita nuevamente la cancelación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 adelante LOPDGDD), con número de referencia E/09702/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El Servicio Andaluz de Salud presentó alegaciones señalando que el Hospital Universitario Puerta del Mar ha recibido recomendación para modificar los datos en los informes médicos posteriores a la fecha de inscripción registral de sexo; en cuanto al resto de la solicitud de cancelación ha solicitado informe a la Asesoría Jurídica del Servicio Andaluz de Salud, que todavía no ha recibido. El Hospital Universitario Regional de Málaga solicitó información a la Comisión de derechos ARCO, que desestimó la solicitud de cancelación basándose en criterios clínicos, contestando a la reclamante en ese sentido. El Servicio Andaluz de Salud expone, en conclusión: - Que han modificado todos los datos de carácter administrativo conforme la inscripción registral actual de la reclamante. - Que, en relación a la supresión de datos de la historia clínica, es el profesional sanitario la persona que puede determinar si se puede suprimir un dato de salud, teniendo en consideración que la finalidad fundamental de los datos de la historia clínica es garantizar la asistencia adecuada al paciente; pero también se utiliza con fines judiciales, de investigación o docencia que están relacionados con la garantía del interés público o el cumplimiento de obligaciones legales. - Que, en este caso, debe tenerse en cuenta que suprimir los datos clínicos anteriores al cambio de identidad registral, podría suponer en un futuro un riesgo para la salud de la propia reclamante. TERCERO: Con fecha 25 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II El artículo 17 del RGPD, referido al derecho de supresión, dispone lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones.” El artículo 9, apartado 2 letra
- h)e
- i)del RGPD, que regula las categorías especiales de datos, entre los que se encuentran los datos de salud, establece lo siguiente: 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.” III Respecto a la historia clínica, la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica (en lo sucesivo LAP), regula las particularidades de la historia clínica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 El artículo 15 de la LAP, indica el contenido de la historia clínica, determinando en su primer apartado que: “1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada”. En relación con el uso de la historia clínica, el articulo 16 de la LAP, en sus tres primeros apartados, especifica los usos y tratamientos detalladamente: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico asistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos.” Por último, y sobre los plazos de conservación a los que se refiere la reclamante y la Sentencia de la Audiencia Nacional, el artículo 17 de la LAP determina: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 “1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. No obstante, los datos de la historia clínica relacionados con el nacimiento del paciente, incluidos los resultados de las pruebas biométricas, médicas o analíticas que en su caso resulten necesarias para determinar el vínculo de filiación con la madre, no se destruirán, trasladándose una vez conocido el fallecimiento del paciente, a los archivos definitivos de la Administración correspondiente, donde se conservarán con las debidas medidas de seguridad a los efectos de la legislación de protección de datos. 2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. Sin perjuicio del derecho al que se refiere el artículo siguiente, los datos de la historia clínica relacionados con las pruebas biométricas, médicas o analíticas que resulten necesarias para determinar el vínculo de filiación con la madre del recién nacido, sólo podrán ser comunicados a petición judicial, dentro del correspondiente proceso penal o en caso de reclamación o impugnación judicial de la filiación materna. IV La solicitud de cancelación de la reclamante no puede basarse en la retirada del consentimiento para el tratamiento de sus datos de salud, ya que la legitimación de dicho tratamiento es la señalada en el artículo 9.2.h). En relación al plazo de conservación de los datos es, según lo indicado en la LAP, el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial; sin olvidar que la historia clínica se debe conservar a efectos judiciales de conformidad con la legislación vigente; cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Por tanto, se mantienen las finalidades para las que se han recabado y mantenido los datos en la historia clínica de la reclamante. Debido a que la historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente, y que son los profesionales asistenciales que realizan el diagnóstico y el tratamiento del paciente los que acceden a dicha historia clínica como instrumento fundamental para su adecuada asistencia, son estos profesionales sanitarios los que deben determinar si se pueden cancelar los datos o si son necesarios para prestar esa asistencia sanitaria. Sin dejar de lado el resto de los motivos de conservación de la historia clínica (judiciales, investigación, epidemiológicos) que impiden asimismo su cancelación. Teniendo en consideración que el Servicio Andaluz de Salud ha contestado la solicitud de supresión en este mismo sentido, su actuación ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es