1/13 Expediente Nº: E/06600/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en ejecución de la Sentencia número 70/2017, de 21 de febrero de 2017, dictada por la Sección 1ª del Tribunal Superior de Justicia de la Comunidad Autónoma del País Vasco, y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 27 de enero de 2011, se recibió en la Agencia Española de Protección de Datos un escrito remitido por el Consejo General de Colegios Oficiales de Médicos en el que exponía que tanto el Departamento de Sanidad y la Dirección de OSAKIDETZA como el Se E.E.E.cio Cántabro de Salud habían remitido comunicaciones a los distintos profesionales médicos de su área de competencia, en torno a la modificación de la prescripción de determinados tratamientos farmacológicos por otros equivalentes; por lo que denunciaban que se había podido producir un acceso masivo a historias clínicas de los pacientes afectados, que pudiera ser incompatible con el derecho a la protección de datos de los afectados. La Agencia Española de Protección de Datos acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador o de infracción de las Administraciones Públicas ya que, a su criterio y según se detallaba, existe una prolija regulación en torno al ámbito de actuación de las administraciones sanitarias (sean estatales o autonómicas), tanto en materia de gestión de historias clínicas en ejercicio de las competencias que las distintas administraciones poseen en materia de salud, como en materia de gestión del se E.E.E.cio farmacéutico, que establecen la posibilidad de accesos a datos clínicos por dichas administraciones, en ejercicio de las correspondientes competencias sanitarias y estando sometido dicho ejercicio al deber de secreto profesional que establece el artículo 10 de la LOPD, el cual, en su caso, no parecía haberse infringido, no aportándose elementos probatorios a este respecto en su escrito de denuncia. Por otro lado, de lo señalado en su texto de denuncia, no se colige el hecho de que, en efecto, se produjeran accesos a historiales clínicos de pacientes dentro de las áreas de competencia propias de los Se E.E.E.cios de Salud denunciados, sino que estaríamos ante una simple comunicación de un cambio en la prescripción de determinados medicamentos, lo cual se pone en conocimiento de los responsables directos del ejercicio de las correspondientes prescripciones, sin establecer particularizaciones que implicaran dichos accesos. El hecho de señalar que se producirán cambios automáticos de prescripciones no indica más que un cambio en la herramienta de gestión de prescripciones, sin traer consigo un ejercicio de accesos clínicos, lo cual, en su caso, tampoco y en principio, dadas las competencias de los Se E.E.E.cios Sanitarios de Salud, tendría que significar infracción alguna de la normativa en materia de protección de datos y en usos de las historias clínicas. SEGUNDO: Esta Resolución de inadmisión fue recurrida por el Consejo General de Colegios Oficiales de Médicos ante la Audiencia Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Con fecha 22 de septiembre de 2014, se recibió la Sentencia de la Audiencia Nacional de fecha 5 de mayo de 2014, resolviendo el Recurso contenciosoadministrativo interpuesto por el Consejo General de Colegios Oficiales de Médicos, contra la Resolución de esta Agencia. La Audiencia Nacional en la citada Sentencia resuelve lo siguiente: “Que estimando el presente recurso contencioso administrativo interpuesto por la representación del Consejo General de Colegios Oficiales de Médicos, la resolución de la Agencia Española de Protección de Datos de 24 de febrero de 2011, debemos anular la resolución recurrida ordenando la incoación de actuaciones inspectoras y el inicio de procedimiento sancionador con el fin de determinar la posible vulneración de la normativa sobre protección de datos referida en el fundamento jurídico cuarto. Todo ello sin haber lugar a expresa imposición de costas”. TERCERO: La Agencia Española de Protección de Datos trasladó la denuncia, acuerdo de inadmisión y Sentencia de la Audiencia Nacional a la Agencia Vasca de Protección de Datos para la investigación y resolución de la misma en lo referente al Se E.E.E.cio Vasco de Salud. Por otra parte, esta Agencia inició actuaciones previas de investigación ante el Se E.E.E.cio Cántabro de Salud, concluyendo que en el histórico de prescripciones figuraba modificado el nombre del medicamento prescrito al paciente. Se inició el procedimiento de Declaración de Infracción de Administraciones Públicas, referencia: AP/00018/2015, resolviendo su archivo al constatarse que la información recogida en el fichero histórico de prescripciones recogía con veracidad la situación del afectado; que el fichero si dispone de la información de cuál fue el medicamento que se le prescribió en cada momento al paciente, el de marca o el genérico, y que el problema era la forma en que se visualizaba la información en la pantalla que se proporcionó a solicitud de esta Agencia. Este problema quedó resuelto con la nueva tabla aportada que permitía la visualización del medicamento prescrito en cada momento a los pacientes, por lo que se estimaba que el Se E.E.E.cio Cántabro de Salud no había incurrido en infracción a la normativa de protección de datos. Esta Resolución de Archivo del procedimiento de Declaración de Infracción de Administraciones Públicas fue recurrida por el Consejo General del Colegio Oficial de Médicos ante la Audiencia Nacional, no habiendo recibido la Sentencia en esta fecha. CUARTO: La Agencia Vasca de Protección de Datos, tras recibir la remisión de la denuncia presentada en esta Agencia y la Sentencia de la Audiencia Nacional instando a la realización de actuaciones previas de investigación, realizó tales actuaciones, resolviendo el archivo de las mismas al no encontrar indicios de vulneración de la normativa de protección de datos, en fecha 15 de abril de 2015. Esta Resolución fue recurrida por el Consejo General del Colegio Oficial de Médicos ante el Tribunal Superior de Justicia del País Vasco, cuya Sección Primera de la Sala de lo Contencioso Administrativo, falló, en fecha 21 de febrero de 2017, en el sentido siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 <<PRIMERO: REVOCAR LA SENTENCIA DE INSTANCIA EN EL SENTIDO DE ESTIMAR PARCIALMENTE EL RECURSO CONTENCIOSO ADMINISTRATIVO INTERPUESTO CONTRA LA RESOLUCIÓN Nº R15-017 DEL DIRECTOR DE LA AGENCIA VASCA DE PROTECCIÓN DE DATOS, DE 15 DE ABRIL DE 2015. SEGUNDO: ANULAR DICHA ACTIVIDAD ADMINISTRATIVA, CON RETROACCIÓN DE ACTUACIONES AL MOMENTO DE SU DICTADO, Y EMISIÓN DE PROPUESTA DE EJECUCIÓN, PARA SU ELEVACIÓN A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS.>> Asimismo, en el Fundamento de Derecho Quinto del Fallo se indica: <<…La ilicitud del actuar de la Agencia Vasca reside en el inicio y culminación del expediente, como si se tratare de una nueva denuncia, cuando la única presentada por el Consejo había sido resuelta en vía administrativa y anulada por sentencia, quedando pendiente tan solo la ejecución del fallo judicial; de forma que, lo recibido de la Agencia Estatal fue necesariamente una mera encomienda para la instrucción ordenada por la Audiencia Nacional, con emisión de propuesta a elevar al órgano encomendante, demandado en el procedimiento sustanciado ante la Audiencia Nacional, y en consecuencia, el competente y responsable de la ejecución de la repetida sentencia; así debió entenderlo la Agencia Vasca con el traslado por la Agencia Estatal de la denuncian y de la sentencia “a los efectos oportunos”. Yerra la Agencia Vasca en su proceder, en tanto que, lejos de limitarse a efectuar labores investigadoras, archiva la denuncia, y por ende, ejecuta la sentencia, para ulteriormente en el proceso judicial formular excepción, negando legitimación al denunciante, en su actuación rayana a las proscritas en el artículo 11.2 de la Ley Orgánica del Poder Judicial, y ello con asunción de competencias ejecutivas que no le corresponden. Consideraciones las expuestas que abocan a la revocación de la sentencia apelada, sin necesidad de análisis añadido, ni siquiera sobre la cuestionada investigación acometida por la Agencia Vasca, cuyos resultados plasmados en la oportuna propuesta habrán de ser remitidos para su evalúo a la Agencia Estatal en orden a llevar a puro y debido efecto la sentencia de la Audiencia Nacional>> QUINTO: Contra la Resolución del Tribunal Superior de Justicia del País Vasco, el Se E.E.E. D.D.D. presentó recurso de casación, que fue inadmitido por el Tribunal Supremo, en fecha 13 de julio de 2017, por carencia de interés casacional objetivo para la formación de jurisprudencia. FUNDAMENTOS DE DERECHO I En ejecución de la Sentencia se recibió la Sentencia de la Audiencia Nacional número de recurso 290/2011, de fecha 5 de mayo de 2014, resolviendo el Recurso contencioso-administrativo interpuesto por el Consejo General de Colegios Oficiales de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Médicos, contra la Resolución de esta Agencia, en la que se resolvía anular la resolución recurrida, dictada por la Agencia Española de Protección de Datos, ordenando la incoación de actuaciones inspectoras y el inicio de procedimiento sancionador con el fin de determinar la posible vulneración de la normativa sobre protección de datos; así como de la Sentencia número 70/2017, de fecha 21 de febrero de 2017, del Tribunal Superior de Justicia del País Vasco, Sala de lo ContenciosoAdministrativo, que señala: <<La ilicitud del actuar de la Agencia Vasca reside en el inicio y culminación del expediente, como si se tratare de una nueva denuncia, cuando la única presentada por el Consejo había sido resuelta en vía administrativa y anulada por sentencia, quedando pendiente tan solo la ejecución del fallo judicial; de forma que, lo recibido de la Agencia Estatal fue necesariamente una mera encomienda para la instrucción ordenada por la Audiencia Nacional, con emisión de propuesta a elevar al órgano encomendante, demandado en el procedimiento sustanciado ante la Audiencia Nacional, y en consecuencia, el competente y responsable de la ejecución de la repetida sentencia; así debió entenderlo la Agencia Vasca con el traslado por la Agencia Estatal de la denuncian y de la sentencia “a los efectos oportunos>>; correspondería en este caso concreto, a la Directora de la Agencia Española de Protección de Datos, resolver sobre la base de lo practicado y propuesto por la Agencia Vasca de Protección de Datos, sin perjuicio de las competencias que a ésta corresponden conforme a lo establecido en el artículo 17.
- d)de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, y el artículo 7.2 del Decreto 309/2005, de 18 de octubre, por el que se aprueba el estatuto de la Agencia Vasca de Protección de Datos. II La Agencia Vasca de Protección de Datos fundamento jurídicamente su actuación como se recoge a continuación: <<La conducta denunciada se refiere a una supuesta vulneración de la normativa de protección de datos en la sustitución de determinadas prescripciones por marca comercial a principio activo en el Sistema Público de Salud de esta Comunidad Autónoma. A esta denuncia se acompaña copia del boletín Informativo n° 20 de 2 de junio de 2010, de Osakidetza, donde se hace pública la medida que el entonces Departamento de Sanidad y Consumo y la Dirección de Osakidetza habían decidido poner en marcha para promover el consumo de genéricos y la prescripción por principio activo, y la racionalización del gasto farmacéutico: la sustitución de forma automatizada de determinados tratamientos crónicos de marca comercial por principio activo (DOE). Según señala expresamente ese boletín, “La medida lleva aparejada el hecho de que si un facultativo considera que el cambio no es adecuado para un paciente concreto podrá solicitar que no se realice, justificándolo adecuadamente a través de la Dirección Médica de la comarca Araba” A ese boletín se adjunta carta que debe ser entregada al paciente por su médico o enfermera de referencia y carta explicativa dirigida a los propios profesionales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 La carta de 2 de junio de 2010, que la Directora de Farmacia y el Director de Asistencia Sanitaria remiten a los profesionales médicos, y cuya copia se acompaña también a la denuncia, prevé expresamente que “No obstante, si consideras que este cambio no es conveniente para un paciente concreto, puedes ponerlo en conocimiento de tu Dirección Médica mediante un informe Justificativo, para su valoración” En relación con la denuncia formulada es necesario destacar varias cuestiones de especial relevancia: 1ª.- Esta denuncia llega a la Agencia Vasca de Protección de Datos el 13 de octubre de 2014. Previamente, la Agencia Española de Protección de Datos habla dictado resolución de 24 de febrero de 2011, acordando no incoar actuaciones inspectoras ni iniciar procedimiento de infracción de las Administraciones Públicas contra el Departamento de Sanidad y la Dirección de Osakidetza, por estos tratamientos objeto de la denuncia, y por los que también, de manera similar, realizó el Gobierno de Cantabria. 2ª.- Esta resolución fue impugnada en vía contenciosa por el Consejo General de Colegios Oficiales de Médicos, y anulada por Sentencia de la Audiencia Nacional de 5 de mayo de 2014, que ordena a la Agencia Española de Protección de Datos la Incoación de actuaciones Inspectoras y, en su caso, el inicio del procedimiento sancionador con el fin de determinar la posible vulneración de la normativa de protección de datos. Por ello, la Agencia Española de Protección de Datos remite a esta Institución la denuncia en lo referido exclusivamente a las Administraciones Vascas, por ser la competente para su tramitación y resolución, de conformidad con lo dispuesto en el artículo 17.1 en relación con el artículo 2.1 de la Ley 2/2004, de 25 de febrero, de ficheros de datos de carácter personal de titularidad pública y de creación de la Agencia Vasca de Protección de Datos. 3ª.- La Agencia Vasca de Protección de Datos ya resolvió el 17 de mayo de 2011 otra denuncia por estos mismos tratamientos formulada por un Colegio de Médicos (DN10-025). En esa resolución se acordó el archivo de las actuaciones, por entender que los tratamientos de datos derivados de la implantación de la medida de sustitución de algunas prescripciones por marca a genéricos, no vulneraba la protección de datos personales, al contar con cobertura suficiente en norma con rango formal de ley. A esta conclusión llegó la Agencia tras realizar las actuaciones necesarias para determinar si los tratamientos denunciados vulneraban o no la normativa de protección de datos, y a esa misma conclusión le lleva todo lo actuado hasta la actualidad, ya que no se advierte razón alguna que justifique un cambio en el sentido de la resolución anterior, por las razones que se tratarán de exponer claramente a continuación. III El Consejo General de Colegios Oficiales de Médicos denuncia que la medida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 adoptada por la Administración Sanitaria Vasca de sustitución de determinadas prescripciones por marca comercial a principio activo en el Sistema Público de Salud de esta Comunidad Autónoma, determina un acceso a la historia clínica que podría ser contrario a los artículos 16 y 18 de la Ley 4112002) de 14 de noviembre, de Autonomía del Paciente y 7y 16 de la LOPD, en relación cori el artículo 5 de su Reglamento. Sin embargo, a juicio de la AVPD esa alegación de la corporación colegial carece de fundamento. Ha quedado acreditado en el expediente obrante en esta Agencia, que el cambio de prescripciones se produjo de manera automática, de modo que ese proceso no exigía el acceso de ninguna persona a las historias clínicas de los afectados. El proceso automatizado consistió en recorrer la tabla de prescripciones buscando las coincidentes con un listado de productos farmacéuticos a sustituir, de modo que cuando se encontraba alguna de dichas prescripciones se cambiaba el código del producto por su DOE (denominación oficial española de la sustancia o principio activa de tal producto) y se actualizaba el histórica de prescripciones para que quedase la misma trazabilidad que antes del cambio. Tras dicha operación automática se obtuvo un listado de las personas afectadas por el cambio, que desde la perspectiva de protección de datos, debe ser calificada como “fichero temporal”, esto es, como un fichero de trabajo creado por un proceso que es necesario para un tratamiento ocasional a como pasa intermedio durante la realización de un tratamiento. Dicho fichero temporal fue remitido a la Subdirección de Asistencia Sanitaria, en la cual se fraccionó el mismo remitiendo posteriormente a las Direcciones Médicas de las Comarcas Sanitarias aquella fracción correspondiente a los pacientes asignados a cada una de ellas. Posteriormente se remitió a cada Jefatura de unidad de atención al paciente el listado de pacientes pertenecientes al cupo de su unidad afectados por (os cambias y, finalmente) a los médicos de atención primaria el listada de sus respectivos pacientes afectados por la medida. De conformidad con el proceso descrito, debe concluirse que la sustitución de determinadas prescripciones por marca comercial a principio activo en el Sistema Público de Salud de esta Comunidad Autónoma se produjo de manera automática, sin el acceso de persona alguna a las historias clínicas da los afectados. IV Sentado lo anterior, es cierto también que la implementación de la medida adoptada ha conllevado un tratamiento de datos personales de los afectados, y en concreto, de datos de salud contenidos en su Historia Clínica. Los datos de carácter personal relacionados con la salud son definidos en el artículo 5.1.
- g)del Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal, aprobado por RD 1720/2007, de 21 de diciembre, como “las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética”. Los datos de salud son datos íntimos, vinculados a la dignidad de la persona, con un enorme potencial discriminador, y por ello, son datos especialmente protegidos. Esa especial protección tiene reflejo en el artículo 7.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD, en adelante), que dispone “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” El consentimiento expreso de sus titulares se convierte así en la regla general para el tratamiento de los datos de salud, y las excepciones al consentimiento deben estar habilitadas en una ley dictada por razones de interés general. Sin embargo, el derecho a la privacidad de los datos de salud no es absoluto, y la propia LOPD contempla excepciones al consentimiento del afectado para el tratamiento de esos datos que se recogen en los artículos 7.6; 8 y 11.2
- f)de esta Ley Orgánica 15/1999. El artículo 7.6 habilita el tratamiento de datos personales relacionados con la salud de las personas, sin su consentimiento, “cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de se E.E.E.cios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a un obligación equivalente de secreto” Por otra parte, en el marco de la asistencia sanitaria, añade el artículo 8 que “sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad” En este mismo sentido, recuerda el artículo 10.5 del Reglamento de desarrollo de la Ley Orgánica 15/1999 que “no será necesario e! consentimiento de! interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y se E.E.E.cios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 1 6/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud” Por último, el artículo 11.2
- f)de la Ley Orgánica establece la licitud de la cesión de determinados datos relacionados con la salud si la misma es “necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. Además, este régimen especial de protección de los datos de salud contenido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 la LOPD, debe complementarse, necesariamente, con las previsiones específicas recogidas en la legislación sanitaria, y en particular, y por lo que se refiere a las historias clínicas, por la regulación contenida en el Capítulo V de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, desarrollado en la actualidad, en el ámbito de esta Comunidad Autónoma, mediante Decreto 38/2012, de 13 de marzo, sobre historia clínica y derechos y obligaciones de pacientes y profesionales de la salud en materia de documentación clínica. La ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece el carácter confidencial de los datos de salud y el derecho de toda persona a que nadie pueda acceder a esos datos sin previa autorización amparada por la Ley (art. 7.1). El artículo 18 de esa Ley 41/2002, regula los derechos de acceso a la Historia Clínica, reconociendo el derecho de acceso por el propio paciente o su representante debidamente acreditado (con las limitaciones establecidas en el 18.3), y el derecho de acceso por los familiares o personas vinculadas del paciente fallecido (si este no lo hubiera prohibido expresamente) y por un tercero ante un riesgo para su salud y siempre limitado a los datos pertinentes. Por su parte, el artículo 16 de esta misma ley sanitaria, regula los distintos “usos de la historia clínica”. Su finalidad principal se recoge en su apartado 1, cuando dispone “la historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada apaciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia” Pero la Ley 41/2002, de 14 de noviembre, contempla, en ese mismo artículo 16, otros usos distintos de la historia clínica: para fines judiciales, de salud pública y epidemiología, investigación o docencia, en los términos recogidos en su apartado 3; habilita también el acceso al personal de administración y gestión de los centros sanitarios, respecto a los datos de la Historia Clínica relacionados con sus propias funciones (art. 16.4); y al personal sanitario que ejerza funciones de inspección, evaluación , acreditación y planificación, en los términos recogidos en el apartado 5. Interesa, por último, destacar, que el apartado 6 de ese art. 16, obliga a todo las personas que accedan a los datos de la HC en el ejercicio de sus funciones a guardar el debido secreto. En similares términos, se pronuncia el artículo 7.6 de la LOPD, que establece la posibilidad de tratamiento de datos relacionadas con la salud por profesional sanitario sujeto a secreto profesional o por otra persona sujeta asimismo a una obligación sujeta a secreto. En definitiva, de conformidad con lo señalado debe concluirse que el régimen aplicable al tratamiento de los datos de salud está regulado en la propia Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y complementada por la legislación sanitaria, en particular, en el caso que nos ocupa, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 la Ley 41/2002, de 14 de Noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. En consecuencia, para comprender las distintas funcionalidades de la historia clínica, y de los tratamientos de los datos de salud que en ella se contienen, sin perjuicio ni menoscabo del derecho fundamental de las personas a la protección de sus datos personales, resulta obligada la interpretación integrada de todo el régimen jurídico aplicable al tratamiento de esos datos, contenido, básicamente, en la LOPD y en la Ley 41/2002, de 14 de noviembre. V En este caso, ha quedado acreditado en el expediente que el tratamiento de los datos de los pacientes afectados, se realizó sin su consentimiento, por lo que procede ahora resolver si la medida implementada encuentra amparo suficiente en una norma con rango formal de ley. En este sentido, no ofrece duda, y tampoco lo cuestiona el denunciante, que la finalidad de esta medida es promover el uso racional de los medicamentos, y el control de gasto farmacéutico, aumentando el consumo de medicamentos genéricos y la prescripción por principio activo. A juicio de esta Agencia, esa finalidad racionalizadora reúne las características que son predicables de una “razón de interés general” encontrando reflejo expreso en una norma con rango de Ley. Así, no resulta complicado incardinar dicha finalidad en diferentes pasajes de la Exposición de Motivos de Ley 29/2006, de 26 de julio, de Garantías y Uso Racional de los medicamentos y productos sanitarios. Puede hacerse referencia, al menos, a los siguientes: “El desafío actual es asegurar (e calidad de la prestación en todo e! Sistema Nacional de Salud en un marca descentralizado capaz de impulsar el uso racional de los medicamentos y en el que el objetivo central sea que todos los ciudadanos sigan teniendo acceso al medicamento que necesiten, cuando y donde lo necesiten, en condiciones de efectividad y seguridad. El crecimiento sostenido de las necesidades en materia de prestación farmacéutica tendrá, por tanto, que enmarcarse necesariamente en estrategias de uso racional de los medicamentos y de control del gasto farmacéutico, que permitan seguir asegurando una prestación universal de calidad contribuyendo a la sostenibilidad del Sistema Nacional de Salud. En este sentido, la Ley considera necesario que la financiación selectiva y no indiscriminada de medicamentos se realice en función de la utilidad terapéutica de los mismos y de su necesidad para mejorar la salud de los ciudadanos”. Es posible incluso observar referencias concretas a la utilización de genéricos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 “La aparición en estos años de los medicamentos genéricos, productos de eficacia clínica demostrada y más económicos al haber expirado el periodo de exclusividad de datos del medicamento original, asegura idénticas condiciones de calidad, seguridad y eficacia a menor precio. Por ello, en este objetivo de sostenibilidad, fas medidas incorporadas en esta Ley pretenden eliminar los obstáculos que dificultan una mayor presencia de estos medicamentos en el mercado, equiparando la situación española con la de otros países de nuestro entorno” Dichas consideraciones, como no podía ser de otra manera, encuentran reflejo expreso en la parte dispositiva de dicha Ley. Así el artículo 88, de acuerdo con el cual: “1. Se reconoce el derecho de todos los ciudadanos a obtener medicamentos en condiciones de igualdad en todo el Sistema Nacional de Salud, sin perjuicio de las medidas tendentes a racionalizar la prescripción y la utilización de medicamentos y productos sanitarios que puedan adoptar las Comunidades Autónomas en ejercicio de sus competencias” Lo mismo cabe decir respecto a la dispensación de genéricos, a los que se refiere el artículo 85, en su redacción vigente en ese momento, de la siguiente manera: “ A.A.A.i C.C.C.. En los casos en los que el prescriptor indique en la receta simplemente un principio activo, el farmacéutico dispensará el medicamento que tenga menor precio y, en caso de igualdad de precio, el genérico, silo hubiere” Dichos preceptos en lo que ahora interesa, deben ser completados con las previsiones específicas que dicha Ley realiza en relación con la protección de datos de carácter personal. De esta manera, por ejemplo, el artículo 5,1 de dicha Ley expresa que: “A efectos de salvaguardar las exigencias de salud y seguridad pública, las Administraciones públicas están obligadas a comunicarse cuantos datos, actuaciones o informaciones se deriven del ejercicio de sus competencias y resulten necesarias para la correcta aplicación de esta Ley”. O el párrafo segundo del artículo 77.8, de acuerdo con el cual: “No será necesario el consentimiento del interesado para el tratamiento y la cesión de datos que sean consecuencia de la implantación de sistemas de información basados en receta médica en soporte papel o electrónico, de conformidad con lo dispuesto en los artículos 7, apartados 3 y 6; 8; y 11, apartado 2.a), de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Las citadas actuaciones deberán tener por finalidad facilitar la asistencia médica y farmacéutica al paciente y permitir el control de la prestación farmacéutica del Sistema Nacional de Salud’ Inciden en el impulso de dicho tipo de medidas el Real Decreto Ley 4/2010, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 26 de marzo, de racionalización del gasto farmacéutico con cargo al Sistema Nacional de Salud y el Real Decreto Ley 8/2010, de 20 de mayo que adopta medidas extraordinarias para la reducción del déficit público. La conclusión que cabe obtener de cuanto antecede es, por una parte, que dichas medidas responden a una “razón de interés general” expresada y desarrollada a través de varias normas con rango formal de Ley. De conformidad con lo expuesto, esta Agencia considera que los tratamientos de datos derivados de la implantación de la medida de sustitución de forma automatizada de determinados tratamientos crónicos de marca comercial por principio activo (DOE), sin el consentimiento de los pacientes afectados, en los términos llevados a cabo por la Administración Sanitaria Vasca, es conforme con la LOPD, por estar amparados en el artículo 85 de la Ley 29/2006, de 26 de julio, de Garantías y Uso Racional de los medicamentos y productos sanitarios. Esta conclusión queda reforzada, a juicio de esta Agencia, por la reciente sentencia del Tribunal Supremo de 24 de febrero de 2015. En el fallo de esta sentencia, el Alto Tribunal dispone que no ha lugar la casación interpuesta contra la STSJPV de 21 de marzo de 2012, que declaraba la conformidad a derecho de la medida’ de algunos medicamentos por prescripción por principio activo, y lo hace apoyándose precisamente en el artículo 85 de la Ley 29/2006. A juicio del TS, ese precepto legal no impone un deber taxativo e ineludible de que todas las prescripciones de medicamentos de los se E.E.E.cios públicos de salud se hiciesen por principio activo, es decir por medicamentos genéricos, pero “recoge un principio o directriz que debe orientar la actuación de los profesionales en los se E.E.E.cios públicos de salud. Ello significa que, si bien no queda radicalmente excluida la posibilidad de prescribir medicamentos de marca, los se E.E.E.cios públicos de salud deben prescribir medicamentos genéricos en la mayor medida posible” Además, acaba concluyendo el TS, que dado que ese precepto legal vincula a todas las Administraciones Sanitarias, el Se E.E.E. D.D.D. dispone de base legal suficiente para adoptar las medidas tendentes a que sus prescripciones de medicamentos se hagan preferentemente por principio activo. B.B.B.. (FJ3° ir, fine). En definitiva, entiende el TS que la medida cuestionada, de sustitución automática de determinadas prescripciones por marca comercial a principio activo, no sólo no vulnera la legalidad, sino que da cumplimiento a un mandato legal, y este mandato legal, contenido en el artículo 85 de la Ley 29/2006, de 26 de julio, de Garantías y Uso Racional de los medicamentos y productos sanitarios, constituye, a juicio de esta Agencia, habilitación legal suficiente para amparar, por razones de interés general, los tratamientos de datos de salud de los pacientes afectados, sin su consentimiento, en los términos llevados a cabo por la Administración Sanitaria Vasca. A esta conclusión, tampoco podría oponerse que la prescripción en la Historia clínica sólo puede ser modificada por el médico, y que, en este caso, se habría producido un cambio automático, sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 En este sentido, es preciso destacar, en primer lugar, tal y como lo ha destacado el propio TS en la sentencia ahora citada, que la medida denunciada “prevé la posibilidad de que excepcionalmente los profesionales del Sistema Vasco de Salud prescriban medicamentos por marca, siempre que su prescripción esté justificada caso por caso (FJ1º)”. Por otra parte, no debe olvidarse que los datos de salud que se incorporan a la Historia Clínica son datos del paciente, aunque la historia clínica sea una creación intelectual y profesional del profesional sanitario. Estos profesionales han de custodiar las Historias Clínicas que manejan, así como cooperar en la creación y mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes -arts. 15.3 y 17.3 de la Ley 41/2002, de 14 de noviembre-. Sin embargo, esa obligación de cumplimentación de la Historia Clínica, en los aspectos relacionados con la asistencia directa al paciente y de custodia de las historias clínicas que está manejando, nada tiene que ver con el consentimiento que prevé la LOPD, como habilitante para el tratamiento de datos personales relativos a la salud de una persona. El consentimiento que legitimaría el tratamiento de datos de salud obrantes en la Historia Clínica, sería el consentimiento del paciente, titular de ese dato, y usuario, en este caso, del Sistema Público Vasco de Salud. De conformidad con todo lo anterior, debe necesariamente concluirse que la sustitución de determinadas prescripciones por marca comercial a principio activo, en los términos llevados a cabo por la Administración Sanitaria Vasca, no vulnera la normativa de protección de datos de carácter personal.>> III La denuncia del Consejo General de Colegios Oficiales de Médicos se concretaba en la vulneración del artículo 7 de la LOPD, fundamentalmente. Como se ha recogido en el fundamento de derecho segundo, el tratamiento de datos de salud debe venir habilitado por una Ley o contar con el consentimiento expreso del afectado; pero también el mismo artículo, en su apartado 6, habilita el tratamiento de datos sin ese consentimiento cuando sea necesario para la prestación de asistencia sanitaria o la gestión de los se E.E.E.cios sanitarios. Asimismo, en el artículo 11 de la misma Ley se establece la licitud de la cesión de datos de salud con finalidades específicas. El mencionado Consejo denunció unos hechos muy similares que habrían tenido lugar en el Hospital Marqués de Valdecilla de Santander; esta Agencia investigó los hechos denunciados referentes a Cantabria concluyendo igualmente que debían archivarse al no haber incumplimiento de la normativa de protección de datos. Adicionalmente, debe señalarse que la detallada argumentación recogida en el Fundamento de Derecho segundo describe el régimen jurídico aplicable a los hechos denunciados y es conforme con los precedentes de la Agencia Española de Protección de Datos, siendo innecesaria su reiteración. En conclusión, y en cumplimiento de lo determinado, en primer lugar, por la Audiencia Nacional que ordenó a la Agencia Española de Protección de Datos la investigación de los hechos denunciados, y, en segundo lugar, en cumplimiento de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 señalado por el Tribunal Superior de Justicia del País Vasco, y conforme la fundamentación jurídica señalada, Por la Directora de la Agencia Española de Protección de Datos SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al Consejo General de Colegios Oficiales de Médicos, a Osakidetsa-Se E.E.E.cio Vasco de Salud, a la Agencia Vasca de Protección de Datos y al TRIBUNAL SUPERIOR DE JUSTICIA DEL PAIS VASCO. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es