← España

E-07292-2020

1/14  Procedimiento Nº: E/07292/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A., y B.B.B. (en adelante, las reclamantes), representadas por C.C.C., tiene entrada con fecha 23 de diciembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSELLERIA DE SALUT UNIVERSAL I SALUT PÚBLICA DE LA GENERALITAT VALENCIANA, HOSPITAL UNIVERSITARI I POLITÈCNIC LA FE, (en adelante, el reclamado). Los motivos en que basan la reclamación son: “PRIMERA. - Que, las reclamantes son pacientes del Hospital Universitario La Fe de Valencia (en adelante, “El Hospital”), centro con el que, además, B.B.B., trabajaba como médico. El Hospital almacena en su base de datos la Historia Clínica de las reclamantes, siendo ésta, tal y como define el artículo 3 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (en adelante, “Ley 41/2002”): “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y evolución clínica de un paciente a lo largo del proceso asistencial”. Los centros sanitarios, tal y como establece el apartado segundo del artículo 7 de la Ley 41/2002, deben adoptar todas las medidas oportunas para garantizar el carácter confidencial de los datos de salud, elaborando cuando proceda, normas y procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes. Ello significa que no todo el personal médico del Hospital debería tener acceso a las historias clínicas, sino, exclusivamente, los profesionales asistenciales del centro que realicen el diagnóstico o tratamiento del paciente. SEGUNDA. - A pesar de lo anterior, las reclamantes tenían sospechas fundadas de que algunos profesionales del hospital no encargados de realizar sus diagnósticos o tratamientos, accedían de forma habitual a sus respectivas Historias Clínicas, motivo por el que, en fecha 14 de agosto de 2019, solicitaron a la Subdirección de Sistemas de Información del Hospital (registros de salida nº XXXX y YYYY) la remisión del informe de los movimientos informáticos de sus Historias Clínicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Se aportan como Documentos nº Uno y Dos las solicitudes ante la Subdirección de Sistemas de Información del Hospital. Como resultado de la solicitud del informe de accesos, las reclamantes recibieron en fecha 16 de agosto de 2019 la información relativa a los accesos de los usuarios a sus Historias Clínicas, indicándose la fecha y hora del acceso. Se aportan como Documentos nº Tres y Cuatro las contestaciones de la Subdirección de Sistemas de Información del Hospital. De la información facilitada por la Subdirección de Sistemas de Información del Hospital, se ha podido comprobar que, efectivamente, profesionales no asistenciales y que no han tratado nunca a mis representadas, ni han participado de equipos médicos que, por razón de su profesión y oficio, tuviesen la necesidad de acceder a dichos datos, han estado accediendo en numerosas ocasiones a sus Historias Clínicas. En concreto, de la relación de accesos obtenida, se desprende que D.D.D., hija y hermana de las reclamantes, y su cónyuge E.E.E., que ostentan en El Hospital los cargos de ***CARGO.1 y ***CARGO.2 (perteneciente, así mismo, a ***ESPECIALIDAD.1), han accedido a los historiales clínicos de las reclamantes en numerosas ocasiones sin ningún interés legítimo directo ni indirecto para ella; si bien, este último, ha accedido exclusivamente al de A.A.A.. A modo de ejemplo, D.D.D. ha accedido, sin justificación médica alguna, a la Historia Clínica de B.B.B. en las siguientes ocasiones: - El 18 de agosto de 2015 a las 11:59 horas. - El 5 de junio de 2017 a las 13:04 horas. - El 15 de junio de 2017 a las 11:29 horas. - El 3 de julio de 2017 a las 13:33 horas. En el caso de la Historia Clínica de A.A.A., el acceso injustificado por parte de D.D.D. resulta más notorio todavía, se exponen, a modo de ejemplo, los siguientes accesos: - El 10 de julio de 2018 a las 12:00 horas. - El 17 de julio de 2018 a las 09:53 horas. - El 20 de noviembre de 2018 a las 12:55 horas. - El 5 de marzo de 2019 a las 13:15 horas. - El 5 de abril de 2019 a las 12:58 horas. - El 3 de julio de 2019 a las 12:09 horas. - El 9 de julio de 2019 a las 12:26 horas. - El 12 de julio de 2019 a las 12:46 horas. - El 16 de julio de 2019 a las 13:09 horas. - El 24 de julio de 2019 a las 11:15 horas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 - El 30 de julio de 2019 a las 12:38 horas. TERCERA.- Lo anterior, sumado a la existencia de disputas familiares y laborales entre las partes implicadas, empujó a las reclamantes a ejercitar en fecha 26 de septiembre y 1 de octubre de 2019, respectivamente, sus derechos de limitación sobre los datos contenidos en sus Historias Clínicas, de conformidad con lo establecido en el Reglamento UE 2016/679, General de Protección de Datos, la LOPD y GDD, la Ley 41/2002, y la Ley 10/2014, de 29 de diciembre, de Salud de la Comunidad Valenciana, solicitando que se bloquease el acceso a sus Historias Clínicas a los facultativos y personal de enfermería adscritos al servicio de ***ESPECIALIDAD.1 y apartado digestivo del Hospital. Servicio al que recordamos, está adscrita D.D.D. y E.E.E. con la finalidad de evitar que sigan accediendo sin justificación legítima a sus datos personales de salud. La directora del ***AREA.1, F.F.F., remitió respuesta a la solicitud del derecho de limitación en fecha 12 de noviembre de 2019, poniendo de manifiesto que, en la actualidad el Departamento de Salud de Valencia La Fe cuenta con la herramienta de la historia clínica electrónica promovida por la Conselleria de Sanidad (OrionClínic) y con una aplicación de desarrollo propio para la visualización de la historia clínica electrónica (LUNA). En dicha comunicación, la directora recalca que sí que es posible limitar el acceso en la aplicación propia LUNA; pero, por el contrario, atendiendo a razones técnicas y de limitación de atención al paciente, en la herramienta Orion Clínic no cabe la posibilidad de deshabilitar el acceso para profesionales concretos a una historia clínica determinada. Se adjunta como Documento nº Cinco la respuesta de la directora del ***AREA.1. CUARTA.-Por lo que, habiendo sido infructuoso el intento de ejercer su derecho a la limitación de datos de carácter personal, las reclamantes se han visto abocadas a la presentación de la presente reclamación en materia de protección de datos, y ello con el fin de garantizar el acceso legal a sus Historias Clínicas y evitar que D.D.D. y E.E.E., con los que, repetimos, existen una serie de disputas familiares y laborales, sigan accediendo de forma reiterada a sus historias clínicas sin ningún tipo de justificación por uso clínico. Por todo lo anterior, SE SOLICITA: que se tenga por presentado el presente escrito, junto con sus copias y documentos adjuntos, y, de conformidad con el contenido del mismo: i Se inicien las investigaciones pertinentes para determinar si se ha producido infracción en materia de protección de datos; ii Se adopten las medidas correctivas encaminadas a poner fin al incumplimiento de la normativa de protección de datos. iii Se adopten cuantas medidas sean necesarias para evitar el acceso no autorizado a las Historias Clínicas de las reclamantes. iv. Al amparo de lo establecido en el artículo 69 de la LOPD y GD, se adopten las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 medidas provisionales necesarias para salvaguardad los derechos conculcados. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/02251/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La Administración reclamada facilita la información requerida por la Subdirección General de Inspección de Datos en el sentido siguiente: “Las personas reclamantes hacen constar que tras confirmar las sospechas fundadas sobre accesos no autorizados a su historial por parte de otros médicos solicitaron al hospital la información de los accesos a su historial clínico, recibiendo como respuesta una relación con los nombres, apellidos y departamentos de los facultativos que han accedido a las historias clínicas de ambas reclamantes. Así mismo, en relación con la solicitud de bloqueo del acceso no autorizado a las historias clínicas de las reclamantes, la Consellería respondió que “si bien una de las aplicaciones permite esta configuración (se trata de LUNA, un desarrollo propio del hospital para la visualización clínica electrónica), no así la otra (en la herramienta Orion Clínic, promovida por la Conselleria de Sanidad, no cabe la posibilidad de deshabilitar el acceso para profesionales concretos a una historia clínica determinada, por razones técnicas y porque se limita la atención al paciente)”. La Agencia Española de Protección de datos en el escrito de traslado de reclamación y solicitud de información, solicita al responsable del tratamiento y/o al delegado de protección de datos:

  1. a)Conocer el motivo de la base de legitimación esgrimida para conceder, a las reclamantes, la información relativa a los nombres, apellidos y departamento de los facultativos que han accedido a sus historias clínicas. A este respecto, se aporta informe jurídico de 2016 de la Abogacía General de la Generalitat en la Consellería de Sanidad Universal y Salud Pública cuyas conclusiones establecen que “ante una solicitud de información relativa al registro de accesos a la información contenida en la historia clínica de un interesado, deberá aplicarse el procedimiento y requisitos establecidos en la normativa de transparencia de la administración y no en la de protección de datos de carácter personal”. Se debe tener en cuenta que la argumentación de la abogacía supone la aplicación del procedimiento de acceso a la información pública regulado en la normativa de transparencia lo que supone la necesidad de: • Solicitud específica de derecho de acceso a la información pública referida a las historias clínicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 • Justificación relativa a la prevalencia, en este caso, del interés público sobre los derechos de protección de datos personales u otros derechos constitucionalmente protegidos que haya determinado la decisión de conceder el acceso a la información, de conformidad con lo establecido en el apartado 2 del artículo 15 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. • En su caso, ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal, de acuerdo con el apartado 3 del artículo 15 de la citada ley de transparencia. Así mismo, esta delegación se ha manifestado, en algún caso, en la necesidad de estudiar caso por caso las solicitudes de acceso a los datos de los profesionales sanitarios que acceden a las historias clínicas. A este respecto, se ha argumentado que: • Cuando la solicitud de un ciudadano se realiza por interés particular la jurisprudencia ha fijado también la necesidad de ponderar el interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal (SAN 19.06.2017 y 06.04.2018, entre otras). • Por otro lado, el registro de los accesos, por parte de profesionales sanitarios, a la historia clínica se realiza en cumplimiento de las obligaciones de trazabilidad impuestas por el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad que establece en su artículo 23 que “con la finalidad exclusiva de lograr el cumplimiento del objeto del presente real decreto, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, se registrarán las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa”. Esta delegación entiende que dicha información es estratégica por cuanto garantiza la seguridad de los sistemas debiendo valorar en cada caso la conveniencia de facilitarla a personas interesadas. Además, la Guía para pacientes y usuarios de la Sanidad de la Agencia Española de Protección de Datos establece que “salvo que una ley lo permita expresamente, el derecho de acceso no incluye la identificación de los profesionales sanitarios que acceden a la historia clínica”. No obstante, se debe poner de relevancia que los datos que se proporcionan cumplen criterios de proporcionalidad conforme a lo establecido en el apartado 2 del artículo 15 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, por cuanto se trata de información relativa a datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del sistema pública de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Por tanto, y a la vista de los argumentos expuestos, la Consellería debe argumentar la base de legitimación esgrimida para conceder, a las reclamantes, la información relativa a los nombres, apellidos y departamento de los facultativos que han accedido a sus historias clínicas.
  2. b)Deberá justificarse el motivo por el cual el sistema Orion Clínic no permite deshabilitar el acceso para profesionales concretos a una historia clínica determinada. Para esta justificación podrán aportarse criterios técnicos y de atención al paciente y deberán documentarse las medidas compensatorias destinadas a realizar un control de los accesos que se realizan a las historias clínicas y minimizar los riesgos que puedan derivarse de la ausencia de medidas de limitación de accesos. En este sentido, el Esquema Nacional de Seguridad exige que “el acceso al sistema de información deberá ser controlado y limitado a los usuarios, procesos, dispositivos y otros sistemas de información, debidamente autorizados, restringiendo el acceso a las funciones permitidas”. Así mismo, el apartado 4.2 del Anexo II del ENS determina en cuanto al control de accesos que “El control de acceso que se implante en un sistema real será un punto de equilibrio entre la comodidad de uso y la protección de la información. En sistemas de nivel Bajo, se primará la comodidad, mientras que en sistemas de nivel Alto se primará la protección. En todo control de acceso se requerirá lo siguiente:
  3. a)Que todo acceso esté prohibido, salvo concesión expresa.
  4. b)Que la entidad quede identificada singularmente [op.acc.1].
  5. c)Que la utilización de los recursos esté protegida [op.acc.2].
  6. d)Que se definan para cada entidad los siguientes parámetros: a qué se necesita acceder, con qué derechos y bajo qué autorización [op.acc.4].
  7. e)Serán diferentes las personas que autorizan, usan y controlan el uso [op.acc.3].
  8. f)Que la identidad de la entidad quede suficientemente autenticada [mp.acc.5].
  9. g)Que se controle tanto el acceso local ([op.acc.6]) como el acceso remoto ([op.acc.7]). Con el cumplimiento de todas las medidas indicadas se garantizará que nadie accederá a recursos sin autorización. Además, quedará registrado el uso del sistema ([op.exp.8]) para poder detectar y reaccionar a cualquier fallo accidental o deliberado”.
  10. c)Deberá informarse a esta delegación de las medidas adoptadas en relación con los accesos efectuados a la historia clínica de las reclamantes. A estos efectos: • Se aportará informe relativo a los accesos efectuados a las historias clínicas y si dichos accesos se han realizado cumpliendo de lo establecido en el Reglamento General de Protección de Datos (RGPD) y en el Esquema Nacional de Seguridad (ENS). A este respecto debe considerarse que: ➔ El apartado 2 del artículo 32 del RGPD establece que “Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de (…) acceso no autorizados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 a dichos datos”. Esto debe interpretarse conjuntamente con el apartado 1 de dicho artículo que determina que para garantizar el nivel de seguridad debe establecerse “un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. ➔ El ENS, tal y como se ha documentado anteriormente, establece requisitos de control y requisitos de acceso los cuales deben ser auditables. Posteriormente, el reclamado ha aportado: • DOCUMENTO 0 - ESCRITO DE LA DPD RELACIONADO CON LA SOLICITUD DE INFORMACIÓN ADICIONAL • DOCUMENTO 1 - INFORME DE LA OFICINA DE SEGURIDAD DE LA INFORMACIÓN • DOCUMENTO 2 - JUSTIFICACIÓN BASE DE LEGITIMACIÓN Y PONDERACIÓN • DOCUMENTO 3 - INFORME ABOGACÍA 2012 En cuanto a la investigación realizada por la Dirección de Investigación y Alta Inspección Sanitaria se informa de lo siguiente, de acuerdo con el informe aportado como DOCUMENTO 1: • El 14 de febrero se procedió a trasladar la reclamación presentada ante la Conselleria de Sanitat Universal i Salut Pública a la Dirección General de Investigación y Alta Inspección Sanitaria de dicha conselleria. • El 10 de marzo se comunicó la designación de un médico inspector. • El 14 de marzo se decretó el estado de alarma quedando suspendidos los plazos administrativos. Así mismo, consultado a se informa a esta delegación que: “Con fecha 20 de julio de 2020 se elevó propuesta de apertura de expediente disciplinario a la facultativa D.D.D. ante la Dirección General de Recursos Humanos” (según consta en el escrito emitido por la conselleria responsable y que se adjunta como DOCUMENTO 2). Se aporta como DOCUMENTO 2 informe de la Conselleria relativo a la base de legitimación esgrimida y al criterio seguido por la misma de acuerdo con los informes de la Abogacía de la Generalitat Valenciana en los que se realiza ponderación entre el derecho a conocer, por parte del paciente, la identidad de los profesionales que han accedido a su historia clínica y el derecho a la protección de datos de dichos profesionales. Así mismo, se adjunta como DOCUMENTO 3 informe de 2012 de la citada abogacía. Debe tenerse en cuenta que el criterio de la consellería no deriva de una acción arbitraria sino que supone una postura argumentada e informada por los órganos consultivos correspondientes, de acuerdo con el principio de responsabilidad proactiva exigido en el Reglamento General de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 En relación con la justificación por la cual el sistema Orion Clinic no permite deshabilitar el acceso para profesionales concretos a una historia clínica determinada y las medidas técnicas y organizativas aplicadas actualmente al acceso a las historias clínicas, se exponen los siguientes argumentos de acuerdo con el informe que se aporta como DOCUMENTO 1: • La definición funcional de esta aplicación considera necesario que todos los facultativos accedan a la historia clínica de todos los pacientes, adoptando el principio que cualquier episodio clínico puede ser relevante en el tratamiento de un nuevo episodio, y que de este acceso y conocimiento puede depender la vida de un paciente que entra por la puerta de urgencias. • El acceso a la HC de un paciente desde Orion Clinic está restringido a determinados perfiles, no es una opción que pueda ser utilizada por cualquier usuario. En el momento del alta de los usuarios se les da acceso restringido a las funcionalidades que necesita para el desempeño de sus funciones. Además, este acceso está restringido a los pacientes con los que el profesional mantiene una relación clínico-asistencial, o bien por estar a su cargo y ser de su responsabilidad o del servicio en el que está siendo atendido. • En cualquier otro caso, aunque el profesional pueda buscar y acceder al paciente no se permite la visualización de los informes. Para ello debe acceder expresamente a consultar la HC. El sistema en este caso avisa de este hecho y le obliga a indicar el motivo por el que se desea acceder. Advirtiéndole que el acceso y el motivo serán almacenados para posibles futuras auditorías de acceso a la HC. Los motivos por los que se puede acceder a un paciente con el que no se mantienen una relación clínicoasistencia que se muestran en Orion son los siguientes: ◦ Motivo asistencial ◦ Motivo no asistencial (Docencia/Investigación, Gestión/Dirección, Judicial, Auditoría, Informes a terceros, Comisiones, Salud Pública, Otros). • El comité local de seguridad de la información del hospital la Fe en relación con las medidas técnicas y organizativas que actualmente se aplican para limitar el acceso a las Historias Clínicas informa que: “Las herramientas informáticas que aglutina toda la información de salud de nuestros pacientes están configuradas para limitar los accesos de los profesionales a las partes funcionales que aplican al ejercicio de sus funciones concretas, y así sucede en condiciones normales. Y que el puesto de trabajo como puerta de acceso a los sistemas está configurado para cumplir el principio de autenticación y autorización mediante un Directorio Activo que controla la identidad de los usuarios autorizados, y otorga y limita los permisos de acceso a las distintas aplicaciones y sistemas de información. Existe un registro de accesos a las aplicaciones, que se consulta a demanda, o bien de interesados o bien de la dirección del centro. En este registro se incluye el motivo declarado del acceso. Existe una opción de configurar un texto de información de entrada que va cambiando según las necesidades y que se usa para poner advertencias de seguridad. Se pidió, y está registrado en 2019, un cambio en ORION para que se pudiera ejercer el derecho a la limitación del tratamiento de la historia clínica. La solicitud está pendiente de aprobación por la gestión del proyecto en la Conselleria de Sanidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Además, dicho comité propone medidas organizativas adicionales: 1- Campaña de comunicación y plan de formación 2020 2- Incrementar las Auditorias de accesos. 3- Medidas disciplinarias. 4- Revisar protocolo de auditoria mensual de accesos a la HC según acuerdo en acta 01/2018.” TERCERO: Con fecha 18 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La reclamación presentada se refiere a dos cuestiones: el acceso injustificado a la historia clínica de las reclamantes por personal sanitario que presta servicios en el Hospital Universitario La Fe de Valencia; y en la no atención a la solicitud de bloqueo de sus historias clínicas (en la reclamación se refieren a estas solicitudes como limitación al tratamiento). En relación a la primera cuestión, la Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: 1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso. III El artículo 32 del RGPD dispone lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  11. a)la seuimización y el cifrado de datos personales;
  12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14
  14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” El art. 32 de la LOPD establece el principio de “seguridad de los datos” imponiendo al responsable y encargado del tratamiento la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo, entre otros requisitos en el apartado 4, que tales medidas tienen como finalidad evitar, entre otros aspectos, el acceso no autorizado. Por su parte, y conforme dispone La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16.7 “Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” Recordemos en este punto que la reclamada ha informado de lo siguiente en cuanto a las medidas de seguridad: - Cuentan con el registro de los accesos por parte de profesionales sanitarios a la historia clínica (HC), en cumplimiento de las obligaciones de trazabilidad impuestas por el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad. - El acceso a la HC de un paciente desde Orion Clinic está restringido a determinados perfiles. En el momento del alta de los usuarios se les da acceso restringido a las funcionalidades que necesita para el desempeño de sus funciones. Además, este acceso está restringido a los pacientes con los que el profesional mantiene una relación clínico-asistencial, o bien por estar a su cargo y ser de su responsabilidad o del servicio en el que está siendo atendido. - En otro caso, aunque el profesional pueda buscar y acceder al paciente no se permite la visualización de los informes. Para ello debe acceder expresamente a consultar la HC. El sistema en este caso avisa de este hecho y le obliga a indicar el motivo por el que se desea acceder. Advirtiéndole que el acceso y el motivo serán almacenados para posibles futuras auditorías de acceso a la HC. Los motivos por los que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 puede acceder a un paciente con el que no se mantienen una relación clínico-asistencia que se muestran en Orion son los siguientes: ◦ Motivo asistencial ◦ Motivo no asistencial (Docencia/Investigación, Gestión/Dirección, Judicial, Auditoría, Informes a terceros, Comisiones, Salud Pública, Otros). - El comité local de seguridad de la información del hospital la Fe en relación con las medidas técnicas y organizativas que actualmente se aplican para limitar el acceso a las Historias Clínicas informa que: “Las herramientas informáticas que aglutina toda la información de salud de nuestros pacientes están configuradas para limitar los accesos de los profesionales a las partes funcionales que aplican al ejercicio de sus funciones concretas, y así sucede en condiciones normales. Y que el puesto de trabajo como puerta de acceso a los sistemas está configurado para cumplir el principio de autenticación y autorización mediante un Directorio Activo que controla la identidad de los usuarios autorizados, y otorga y limita los permisos de acceso a las distintas aplicaciones y sistemas de información. Existe un registro de accesos a las aplicaciones, que se consulta a demanda, o bien de interesados o bien de la dirección del centro. En este registro se incluye el motivo declarado del acceso. Existe una opción de configurar un texto de información de entrada que va cambiando según las necesidades y que se usa para poner advertencias de seguridad. El presente expediente trae causa de la reclamación formulada por el presunto acceso indebido a la historia clínica de las denunciantes, habiéndose acreditado a través de la información suministrada por el control de accesos al sistema, la existencia de accesos legitimados y no legitimados a sus historias clínica por usuarios distintos quiénes, los que no tenían vínculos asistenciales con las denunciantes, y conforme exigen las medidas de seguridad del sistema, tuvieron que señalar una causa no asistencial para el acceso a la historia clínica. Por tanto debe concluirse que no se aprecia incumplimiento de las medidas se seguridad exigidas por el referido artículo 32 RGPD por cuanto no se acredita que existan usuarios que puedan acceder a recursos con derechos distintos de los autorizados habida cuenta que el sistema establece perfiles determinados entre los que se encuentran aquellos que puedan acceder únicamente a listas cerradas de pacientes, y aquellos otros, que caso de surgir un vínculo no asistencial no previsto puedan disponer de la posibilidad de acceder para cumplir con la obligación de prestación de la asistencia sanitaria. Por otra parte, en relación con los registros de accesos ha quedado acreditado que el sistema utilizado por la Consellería valenciana dispone de un control de accesos que cumple con lo exigido por el ENS; aportando a las reclamantes y a esta Agencia documentación que acredita tal extremo siendo identificados los usuarios, fecha y hora, tipo de acceso y su autorización, que accedieron a la historia clínica de las denunciantes, identificación posible gracias a la existencia de identificación como usuario del sistema de cada persona que accede. Cabe concluir por tanto que en el presente caso el sistema de información desarrollado por la reclamada y que gestiona la historia clínica electrónica cumple con las medidas de seguridad exigidas por el ENS y en el RGPD, tendentes a evitar accesos no autorizados (art. 32 del RGPD) al acreditarse que se dispone de un control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 y un registro de accesos a las historias clínicas, así como de listas cerradas de usuarios con acceso a las historias clínicas dado su vinculación asistencial con los titulares de las mismas, y caso de no existir dicho vínculo, la existencia de medida de seguridad que impide el acceso a aquellos usuarios que no tengan dicho vínculo o una actividad programada con el paciente, exigiendo al usuario del sistema que en estos casos justifique el motivo y el sistema guarda registro de tal manera que puede comprobarse posteriormente la ieidad o no de la referida justificación aducida por el profesional para efectuar el acceso a la historia clínica. De este modo pudieron identificarse los accesos que dieron lugar a posteriori a una investigación por parte de la Consejería habida cuenta que la justificación reflejada un usuario en el sistema no se consideró en principio suficiente conforme a las tareas desarrolladas por el usuario iniciándose actuaciones sancionadoras que, el 14 de marzo de 2020, tras el decretó de estado de alarma, quedaron suspendidas los plazos administrativos. Con fecha 20 de julio de 2020, se elevó propuesta de apertura de expediente disciplinario a la facultativa D.D.D. ante la Dirección General de Recursos Humanos. IV En segundo lugar, la reclamación se refiere a la no atención del derecho de limitación de acceso sobre los datos contenidos en su historia clínica (ejercitada en fecha 26 de septiembre y 1 de octubre de 2019, respectivamente, solicitando que se bloquease el acceso a sus Historias Clínicas a los facultativos y personal de enfermería adscritos al servicio de ***ESPECIALIDAD.1 y apartado digestivo del Hospital. Hay que señalar, que el ejercicio de los derechos recogidos en los artículos 15 a 22 del RGPD, exige que el responsable del tratamiento conteste a la solicitud de forma motivada. La directora del ***AREA.1, remitió respuesta a la solicitud del derecho de limitación, poniendo de manifiesto que, en la actualidad el Departamento de Salud de Valencia La Fe cuenta con la herramienta de la historia clínica electrónica promovida por la Conselleria de Sanidad (OrionClínic) y con una aplicación de desarrollo propio para la visualización de la historia clínica electrónica (LUNA). Añade la directora que sí que es posible limitar el acceso en la aplicación propia LUNA; pero, por el contrario, atendiendo a razones técnicas y de limitación de atención al paciente, en la herramienta Orion Clínic no cabe la posibilidad de deshabilitar el acceso para profesionales concretos a una historia clínica determinada justificándolo en el apartado 4.2 del Anexo del ENS como se recoge detalladamente en el Hecho segundo de esta Resolución; con el cumplimiento de todas las medidas se garantiza que nadie accederá a recursos sin autorización. Además, quedará registrado el uso del sistema para poder detectar y reaccionar a cualquier fallo accidental o deliberado. La definición funcional de esta aplicación considera necesario que todos los facultativos accedan a la historia clínica de todos los pacientes, adoptando el principio que cualquier episodio clínico puede ser relevante en el tratamiento de un nuevo episodio, y que de este acceso y conocimiento puede depender la vida de un paciente que entra por la puerta de urgencias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Los motivos por los que se puede acceder a un paciente con el que no se mantienen una relación clínico-asistencia que se muestran en Orion son los siguientes: ◦ Motivo asistencial ◦ Motivo no asistencial (Docencia/Investigación, Gestión/Dirección, Judicial, Auditoría, Informes a terceros, Comisiones, Salud Pública, Otros). En consecuencia, el ejercicio del derecho solicitado por las reclamantes ha sido atendido conforme a la normativa de protección de datos. Por lo tanto, se ha acreditado que la actuación de la reclamada como entidad responsable del ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al representante de las reclamantes y al reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.