← España

E-10494-2018

1/6 940-0419 Procedimiento Nº: E/10494/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, la reclamante) tiene entrada con fecha 21/08/2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO NAVARRO DE SALUD, (en adelante, el reclamado). Los motivos en que basa la reclamación son que “a inicios de 2016 inició un expediente de responsabilidad patrimonial ante el Servicio Navarro de Salud, actualmente en curso, tras comprobar varios accesos injustificados “a mi historia clínica informatizada por parte de distintos compañeros del centro de salud Casco Viejo coincidentes con mis periodos de incapacidad temporal”. Menciona como tal algunos nombres y fechas de accesos como desde 2008 a 2012, el ultimo. Otros accesos referidos por otro personal van hasta 15/06/2015 como punto temporal más próximo Aporta copia de escrito de 12/05/2016 del Servicio Navarro de Salud a la reclamante en el que indica” ...su escrito en el que solicita los accesos a su historia clínica informatizada le proporcionamos la información remitida por el Servicio de sistemas de información sanitaria del Servicio Navarro de Salud”. SEGUNDO: Con fecha 5/10/2018, la Subdirección General de Inspección de Datos, remite escrito a la reclamada, del tenor: “De conformidad con art. 9.4 del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018) le traslado la reclamación presentada por … para que analice dicha reclamación y le comunique al reclamante la decisión que adopte al respecto. Asimismo, en el plazo de un mes desde la recepción de este escrito deberá remitir a esta Agencia la siguiente información: “

  1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión.
  2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6
  3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares.
  4. Cualquier otra que considere relevante.” TERCERO: Con fecha 31/10/2018 se recibe respuesta de la reclamada, indicando: 1) El 3/08/2017 se emitió informe desde el Servicio de sistemas de Información Sanitaria al Servicio de Régimen Jurídico, por ser el competente en la materia, para que iniciara si lo estimaba pertinente el expediente correspondiente. El Servicio del Régimen Jurídico valoró las posibles responsabilidades disciplinarias a que los accesos podrían llegar a dar lugar, si bien “todas las posibles infracciones en caso de haber fundamentado el correspondiente expediente disciplinario habían prescrito, a excepción de una de ellas, que además, había sido justificada por parte de la persona que realizó el acceso”. 2) Sobre el procedimiento de responsabilidad patrimonial, se sigue tramitando. 3) Sobre las causas que motivaron la incidencia, refleja que prepararon un anexo nº 2 elaborado por el servicio de sistemas de información sanitaria el 3/08/2017 sobre los accesos que la reclamante consideró indebidos. En el informe se hace un cronograma de los destinos de la reclamante, comenzando en 2004 hasta agosto
  5. El informe determina que de 2004 a 2012 las anotaciones del proceso de IT cuando la reclamante era su propia médico, figuran anotaciones de su curso clínico sobre las ITs por siete profesionales distintos. Examina y valora los accesos persona a persona, remontándose a más de tres años atrás desde la denuncia. 4) Sobre las medidas adoptadas para evitar hechos similares menciona las auditorías anuales sobre accesos a historias clínicas, que también se pueden iniciar si el paciente solicita explicaciones sobre determinados accesos. Se incluyen mensajes en la propia aplicación de historia clínica informatizada dirigidos a los usuarios, el usuario ha de aceptar estas condiciones de uso como paso previo al comienzo de uso de la aplicación. Periódicamente se envían circulares divulgativas a todo el personal del Servicio Navarro de Salud sobre confidencialidad y uso de la historia clínica. Aporta copia de la última. 5) Sobre la aplicación ATENEA que gestiona la historia clínica informatizada en atención primaria, se significa que es utilizada por los profesionales sanitarios y es fiable para el registro de ITs y el resto de información sanitaria. CUARTO: Con fecha 28/11/2018, se recibe un segundo escrito de la reclamada, indicando que se ofreció un acuerdo con la reclamante para indemnizarla, reconociendo la responsabilidad, según decisión de la Comisión de siniestros de 10/10/
  6. La reclamación fue admitida a tramite el 21/11/
  7. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La normativa sectorial aplicable de la historia clínica figura en la Ley 41/2002, básica reguladora de la autonomía del paciente, artículo 3 que señala: “Centro sanitario: el conjunto organizado de profesionales, instalaciones y medios técnicos que realiza actividades y presta servicios para cuidar la salud de los pacientes y usuarios.” “Servicio sanitario: la unidad asistencial con organización propia, dotada de los recursos técnicos y del personal cualificado para llevar a cabo actividades sanitarias.” “Historia clínica: el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial”. En el artículo16, se establecen los usos de la historia clínica: “
  8. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia.
  9. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.
  10. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Personales y Garantía de los Derechos Digitales. Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos.
  11. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.
  12. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria.
  13. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.
  14. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” La Ley foral 17/2010, de 8/11, de derechos y deberes de las personas en materia de salud en la Comunidad Foral de Navarra, (Texto publicado en BON N.º 139 de 15/11/2010) señala en su artículo 31.” Derecho a la confidencialidad de la información.” “
  15. Toda persona tiene derecho a la confidencialidad de toda la información relacionada con los datos referentes a su salud y estancias en centros sanitarios públicos o privados. Igualmente, tiene derecho a que nadie que no cuente con su autorización pueda acceder a ellos, salvo cuando así lo autorice por razones de interés general la legislación vigente, conforme a lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , y a conocer en todo caso quién ha accedido a sus datos sanitarios, el motivo del acceso y el uso que se ha hecho de ellos, salvo en caso del uso codificado de los mismos.
  16. La administración sanitaria Navarra y los centros sanitarios deben adoptar las medidas oportunas para garantizar los derechos a que se refiere el apartado 1, elaborando, en su caso, normas y protocolos para garantizar la legitimidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 acceso a los datos de los pacientes. En tal caso deberán comunicarse a los usuarios las razones y el modo de proporcionar tales informaciones.” III En cuanto a una eventual infracción en materia de protección de datos, la infracción que podría constituir el acceso a datos de un historial clínico sería un tratamiento de datos, entendido como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”,(art 3 LOPD), siendo el acceso por personal no autorizado un acceso por una parte no legitimada para ello, y pudiendo infringirse si se acreditara, el principio de seguridad de los datos por parte del responsable del tratamiento. Esta infracción de acceso por terceros a dichos datos desde que se tiene conocimiento que se produjo hasta la fecha de su denuncia, figura prescrita al haber transcurrido más de dos años desde su comisión, de acuerdo con lo que señala el artículo 47.1 y 2 de la LOPD: ”
  17. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
  18. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
  19. PROCEDER AL ARCHIVO de las presentes actuaciones.
  20. NOTIFICAR la presente resolución a la reclamante y al reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1/10, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.