1/16 Expediente N.º: EXP202503733 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 10 de febrero de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso a su historia clínica frente a AMALGAMA 7 I ASSOCIATS CENTRE D'ATENCIO BIO PSICO SOCIAL AL JOVE I A L'ADOLESCENT, S.L. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante relata que era paciente de la parte reclamada y que, tras la baja de la profesional médica que le atendía, el 15/03/2024 solicitó el acceso a su historial médico. Expone que la documentación facilitada es incompleta, habiendo solicitado en múltiples ocasiones que se completase, a lo cual no ha accedido la parte reclamada aduciendo que el resto de la documentación se encuentra en la nube y que solo tiene acceso a ella la profesional que le atendía. Manifiesta su disconformidad con dicha respuesta, máxime cuando la parte reclamada, además de ser la responsable del tratamiento de sus datos personales, le ha confirmado que "la nube pertenece a Amalgama7". Junto a su escrito presenta: - Copia del intercambio de correos mantenido entre ***EMAIL.1 y (...)@amalgama7.com entre el 15 de marzo de 2024 y el 17 de enero de
- Entre otros, en el correo electrónico de 9 de abril de 2024 a la 1.30 horas escrito por ***EMAIL.1 se indica: “(…) me gustaría saber cómo es posible que mi documentación clínica, (…), simplemente no existan. Documentos como: (…). (…) se me comunicó que no existían más datos/documentos sobre mí (…)”. Por otra parte, entre otros, en el correo electrónico de 9 de abril de 2024 a las 10:32 horas escrito por (...)@amalgama7.com se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/16 “(…) Toda la documentación que nosotros tenemos en papel es la que te hemos entregado, no disponemos de más en formato físico. La información clínica sobre la que haces referencia está subida en la nube y nosotros no tenemos acceso, sólo el profesional con el que se ha trabajado, y es la que no se puede eliminar hasta dentro de 5 años (…)”. Asimismo, en correo de (...)@amalgama7.com se señala: “La nube pertenece a Amalgama
- Y nosotros no podemos acceder, ya que deber ser el profesional, por ser documentación personal”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En su escrito de respuesta a las actuaciones de traslado de 25 de marzo de 2025, la parte reclamada señala: “(…) se abrió historia clínica (informatizada) del paciente, la cual está configurada por: - Documentos aportados por A.A.A.. - Documentos generados por Amalgama
- - Anotaciones clínicas registradas por los dos profesionales que atendieron (…). En fecha 15 de marzo de 2024, Amalgama7 Madrid recibió el primer correo electrónico del paciente solicitando información sobre datos personales e historial médico. En los días siguientes se realizaron varios contactos con el interesado, vía telefónica y correo-electrónico, y una vez realizados los trámites oportunos para el ejercicio efectivo del derecho de acceso, en fecha 3 de abril de 2024, se le entregaron copias de los documentos existentes en su historia clínica. En fecha 3 de abril de 2024, el reclamante, señor A.A.A., recibió copia de cinco documentos obrantes en la historia clínica, tal y como acredita el documento de recepción de certificados e informes (…) con número de registro (...). Documento número
- (…) Amalgama7 ha revisado la documentación obrante en la historia clínica (…), asimismo ha revisado la interlocución mantenida con el paciente, sus peticiones y las respuestas remitidas para determinar si debería o debe revisarse el protocolo referente a los derechos de acceso, rectificación y supresión de datos personales de Amalgama7, concluyendo que se han atendido debidamente las peticiones efectuadas por el reclamante (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/16 TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 10 de mayo de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 3 de septiembre de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: “(…) El Sr. A.A.A., fue atendido en consultas externas del dispositivo asistencial de Amalgama7 Madrid, inscrito en el Registro de Centros, Servicios y Establecimientos Sanitarios de la Comunidad de Madrid con el número CS1831, y con servicio sanitario de psiquiatría, medicina general/familia, psicología clínica y enfermería, desde (…). Por ello, se abrió historia clínica (informatizada) del paciente, la cual está configurada por: - Documentos aportados por A.A.A.. - Documentos generados por Amalgama
- - Anotaciones clínicas registradas por los dos profesionales que atendieron al joven. En fecha 14 de febrero de 2024, los profesionales que atendieron al paciente emitieron informe clínico (número registro (…)) que se entregó a A.A.A. en fecha 19 de febrero de
- Se adjunta como Documento Núm. 1 el documento ((…)) con número de registro (…) que acredita la recepción del informe por parte del paciente. En fecha 15 de marzo de 2024, Amalgama7 Madrid recibió el primer correoelectrónico del paciente solicitando información sobre datos personales e historial médico. En los días siguientes se realizaron varios contactos con el interesado, vía telefónica y correo electrónico. En fecha 26 de marzo de 2024, el interesado presentó la petición formal a través del documento de demanda de certificados e informes ((…)), número de registro (...), se adjunta como Documento Núm.
- Una vez realizados los trámites oportunos para el ejercicio efectivo del derecho de acceso, en fecha 3 de abril de 2024, se le entregaron copias de los documentos existentes en su historia clínica. En concreto, el día 3 de abril de 2024, el reclamante, señor A.A.A., recibió copia del informe clínico emitido en fecha 14 de febrero de 2024 (número de registro (...)), tal y como acredita el documento de recepción de certificados e informes ((…)) con número de registro (...). Documento número
- Asimismo, también recibió copia de cuatro documentos obrantes en la historia clínica y copia del formulario (…), en total 5 documentos, tal y como acredita el documento de recepción de certificados e informes (…) con número de registro (...). Documento número
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/16 A partir de la recepción de la documentación obrante en la historia clínica, el paciente manifestó ciertas suspicacias y quejas sobre sus datos obrantes en la historia clínica e, incluso, elabora teorías sobre la supuesta eliminación de documentación clínica (Véanse correos electrónicos enviados durante el mes de abril de 2024 a Amalgama7, págs. 9 a 44 del Anexo 1). En todo momento, desde Amalgama7 Madrid se dio respuesta al reclamante y se le informó de las condiciones legales sobre la obligación de conservar la documentación clínica y sobre las anotaciones de los profesionales que le atendieron, de conformidad con lo dispuesto en Reglamento General de Protección de Datos (RGPD); en la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), en la Ley de autonomía del paciente, 41/2002 (o ley del paciente) y disposiciones concordantes. (…) “Amalgama7 dio puntual respuesta a la parte reclamante, con anterioridad al traslado por parte de la AEPD de la reclamación; concretamente, Amalgama7 ya había dado respuesta al derecho de acceso del paciente en fecha 3 de abril de 2024, e incluyendo en la historia clínica su petición de no entregar datos personales en caso de fallecimiento, no existiendo más información posterior a la atención que se prestó en los derechos ejercidos por el reclamante. Asimismo, Amalgama7 ya había dado respuesta al resto de peticiones del reclamante con anterioridad a la reclamación presentada ante la Agencia Española de Protección de Datos. Amalgama7, entidad dedicada especialmente (…). Amalgama7 considera que ha actuado correctamente, tal y como acostumbra a hacer cuando recibe peticiones de ejercicios de derechos, y que el derecho de acceso ejercido por el reclamante ha sido debidamente atendido facilitando la información solicitada y conforme a la legislación que la regula. Asimismo, también se ha incorporado la historia clínica el derecho ejercido por el reclamante de petición de prohibición, en caso de fallecimiento, de acceso a terceros, que se ha incorporado a su historia clínica para su atención cuando proceda y conforme a lo dispuesto en su petición.” Junto a su escrito aporta: - Documento 1: Documento titulado “Documentación clínica. Documento de recepción de certificados e informes”. N.º (…). Fecha 19/02/
- (…). En el mismo se indica: “(…) A.A.A., con DNI (…) manifiesta que en fecha 19/02/2024 ha recibido el documento con número de registro (…) que se detalla a continuación: certificado (gratuito) mediante recogida personal en el domicilio de Amalgama7”. Consta la firma del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/16 - Documento 2: Documento titulado “Documentación clínica. Documento de demanda de certificados e informes”. N.º (...). Fecha 26/03/
- (…). En el mismo se indica: “A.A.A. (…) necesita el documento que se solicita (…) certificado (…) recepción mediante correo postal certificado (…)”. Consta la firma del reclamante. - Documento 3: Documento titulado “Documentación clínica. Documento de recepción de certificados e informes”. N.º (...). Fecha 02/04/
- (…). “A.A.A., con ***NIF.1, en calidad de persona interesada (paciente mayor de edad) manifiesta que en fecha de 03 abril de 2024 ha recibido el documento con número de registro (...)-COPIA que se detalla a continuación: certificado (gratuito). Consta la firma del reclamante. - Documento 4: Documento titulado “Documentación clínica. Documento de recepción de certificados e informes. N.º (...). Fecha 03/04/
- (…): “A.A.A. (…) manifiesta que en fecha 3/04/2024 ha recibido el documento con número de registro (…) que se detalla continuación: (…)”. Consta la firma del reclamante. Documento 5: Procedimiento de ejercicio de derechos de la parte reclamada. CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, formulando, en síntesis, las siguientes alegaciones: “
- Que se requiera al centro reclamado para que acredite documentalmente y de forma pormenorizada qué documentos integran la totalidad de mi historia clínica, indicando expresamente si existen o no los siguientes elementos mínimos: - Anotaciones de evolución de las sesiones de psicoterapia. - Anamnesis y exploración inicial. - Hojas de sesión o registros de progreso terapéutico. - Informes de interconsulta entre profesionales. - Cualquier otro documento que, conforme al artículo 18 de la Ley 41/2002, deba formar parte obligatoria de la historia clínica. Asimismo, solicito que, además del inventario pormenorizado, el centro aporte una comparativa entre el listado completo de documentos obrantes en su sistema y la documentación efectivamente entregada al reclamante, identificando cada fichero con su fecha, autor y número de registro interno. Ello permitiría verificar de manera objetiva la existencia o ausencia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/16 determinados registros clínicos, así como determinar si la información alojada en la denominada “nube de Amalgama7” —según reconoce el propio centro— forma parte del conjunto documental que debía haberse facilitado en el ejercicio del derecho de acceso.” Junto a su escrito aporta audios de una conversación con la directora del centro. QUINTO: Examinado el escrito presentado por la parte reclamante, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, formulando el 17 de octubre de 2025, en síntesis, las siguientes alegaciones: “(…) En lo referente a la existencia de información personal del denunciante diferente a la proporcionada y existente en lo que el interesado denomina “nube”, esta parte reitera que los datos personales que se tratan en la entidad son los entregados en papel al reclamante son los mismos que existen en el ámbito digital, con las excepciones que la normativa prevé. De forma concreta, se precisa que la documentación digital se gestiona en un aplicativo informático corporativo que goza de las oportunas medidas de seguridad, integridad y confidencialidad, dotado de trazabilidad y jerarquizado con perfiles de usuario, de forma que las personas trabajadoras de Amalgama7 solo pueden acceder a aquella información que precisan para su trabajo y cumpliendo con lo que determina la regulación en materia de acceso, gestión y conservación de historias clínicas. Este aplicativo informático, que conserva la información en el servidor corporativo y que en este asunto el reclamante denomina “nube”, estructura la información que contiene en distintos apartados, uno de ellos es el de “Documentos”. Este descriptivo está organizado en cuatro apartados genéricos; el primero de ellos, es el denominado “documentación personal”, donde se conservan los datos identificativos facilitados por las personas que vienen a tratarse en esta institución y de gestión administrativa. En este apartado también se conserva el consentimiento del interesado para su tratamiento de datos personales que, en este caso, el denunciante a puesto en cuestión su existencia y que se acompaña en este escrito como Documento
- El segundo apartado se denomina “Informes clínicos externos”. En este espacio se guardan los informes médicos aportados por los propios pacientes y son tomados en consideración por los profesionales sanitarios que van a tratarlos. En este asunto, se encuentran guardados los informes médicos aportados por el propio denunciante y que son anteriores al tratamiento que recibió en Amalgama
- En este apartado existen únicamente dos documentos que se entregaron al denunciante en fecha 3 de abril de 2024, como ya quedó acreditado en las alegaciones presentadas por Amalgama
- No existen consultas ni tratamientos externos, por lo que no hay más información que facilitar al afectado en este apartado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/16 El tercer apartado se denomina “Informes clínicos internos”. En este apartado es donde se encuentran los documentos generados por los profesionales sanitarios durante el tratamiento que recibe el paciente de Amalgama
- En este apartado existen cuatro documentos que se entregaron al denunciante en fechas 19 de febrero de 2024 y 3 de abril de 2024, como ya quedó acreditado en las alegaciones presentadas por Amalgama
- El cuarto apartado, denominado “Protocolos”, contiene los formularios corporativos aplicables o generados en los supuestos clínicos y administrativos que se producen, en este caso son cuatro documentos, tres de ellos son (…) y uno es un (…) que también obran en poder del denunciante. Además del apartado “Documentos”, en el aplicativo informático se encuentran, entre otros, las anotaciones subjetivas que NO se facilitan por afectar a terceras personas y al propio profesional sanitario participante en la elaboración de estas, e incardinarse en el supuesto que determina el artículo 18.3 el cual reza textualmente: “
- El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas” La Agencia Española de Protección de Datos también lo indica así en su web corporativa.”. En el escrito del reclamante presentado en el trámite de audiencia, éste reitera de forma continuada la falta de documentación que, considera, se le está denegando, pero esto no es así. Se le ha entregado toda la documentación que legalmente se le puede entregar, excluyendo, como ya se ha manifestado, las anotaciones subjetivas que realizaron los profesionales que le atendieron en las visitas y que no es posible entregar para preservar los derechos de terceras personas afectadas y los de los profesionales sanitarios que le atendieron. La documentación que el denunciante reclama, además de las notas subjetivas, propias de la Historia Clínica, como Anamnesis, Informes de Interconsultas y similares, son las que, de forma genérica, enuncia la Ley de Autonomía del Paciente, ya citada, pero que no se han realizado en Amalgama7 por no ser necesarias para el tratamiento y, por tanto, no existen. Toda la documentación de la Historia Clínica obrante en Amalgama7 ha sido facilitada al reclamante, incluyendo las pruebas específicas que se le han realizado. No se le puede entregar lo que no existe. (…) Por todo lo expuesto, reiterando la validez de las alegaciones presentadas en fechas 25 de marzo de 2025 y 15 de septiembre de 2025 en este proceso, entendiendo que se ha entregado en tiempo y forma toda la documentación obrante en Amalgama7, se mantiene que el derecho de acceso ejercido por el reclamante ha sido debidamente atendido facilitando la información solicitada y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/16 conforme a la legislación que la regula. Asimismo, se reitera la incorporación a la historia clínica el derecho ejercido por el reclamante de petición de prohibición, en caso de fallecimiento, de acceso a terceros, que 4 se ha incorporado a su historia clínica para su atención cuando proceda y conforme a lo dispuesto en su petición.” Junto a su escrito adjunta: - Documento 1: Consentimiento del reclamante para el tratamiento de sus datos, firmado por este, de 17/07/
- FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/16 ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 10 de mayo de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/16 solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. El derecho de acceso en relación con la historia clínica se regula específicamente en el artículo 18 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica (en lo sucesivo LAP), cuyo tenor literal expresa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/16 "
- El paciente tiene derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos.
- El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.
- El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas. 4.Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o, de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso, el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros". En este sentido, hay que destacar el artículo 15 de la LAP que recoge el contenido mínimo de la historia clínica: "
- La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada.
- La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente: a) La documentación relativa a la hoja clínico-estadística. b) La autorización de ingreso. c) El informe de urgencia. d) La anamnesis y la exploración física. e) La evolución. f) Las órdenes médicas. g) La hoja de interconsulta. h) Los informes de exploraciones complementarias. i) El consentimiento informado. j) El informe de anestesia. k) El informe de quirófano o de registro del parto. l) El informe de anatomía patológica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/16 m) La evolución y planificación de cuidados de enfermería. n) La aplicación terapéutica de enfermería. ñ) El gráfico de constantes. o) El informe clínico de alta. Los párrafos b), c), i), j), k), I), ñ) y o) sólo serán exigibles en la cumplimentación de la historia clínica cuando se trate de procesos de hospitalización o así se disponga.
- La cumplimentación de la historia clínica, en los aspectos relacionados con la asistencia directa al paciente, será responsabilidad de los profesionales que intervengan en ella.
- La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo, para facilitar el mejor y más oportuno conocimiento por los facultativos de los datos de un determinado paciente en cada proceso asistencial". Respecto a la conservación de la historia clínica, el artículo 17 de la LAP, en sus puntos 1 y 5, dispone que: "
- Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial(...)
- Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen". V Conclusión Durante la tramitación del presente procedimiento, la entidad reclamada ha contestado a esta Agencia, pero no acredita respuesta mediante copia del escrito que debe enviar a la parte reclamante, en lo que se refiere a la documentación que se encuentra en la denomina “nube”. La parte reclamada, dice que dio puntual respuesta a la parte reclamante, con anterioridad al traslado por parte de la AEPD de la reclamación; concretamente, Amalgama7 ya había dado respuesta al derecho de acceso del paciente en fecha 3 de abril de 2024, e incluyendo en la historia clínica su petición de no entregar datos personales en caso de fallecimiento, no existiendo más información posterior a la atención que se prestó en los derechos ejercidos por el reclamante. La parte reclamante, expone en sus alegaciones que la documentación facilitada es incompleta, habiendo solicitado en múltiples ocasiones que se completase, a lo cual no ha accedido la parte reclamada aduciendo que el resto de la documentación se encuentra en la nube y que solo tiene acceso a ella la profesional que le atendía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/16 Manifiesta su disconformidad con dicha respuesta, máxime cuando la parte reclamada, además de ser la responsable del tratamiento de sus datos personales, le ha confirmado que "la nube pertenece a Amalgama7". La parte reclamante en el correo de 09/04/2025, reiteró en múltiples ocasiones, ampliar la información facilitada por la reclamada, la parte reclamante dice textualmente "parte de la cual yo vi a B.B.B. escribir con mis propios ojos en su portátil y en plena sesión... como: (…)." A este respecto, el personal de AMALGAMA7 le ha respondido en varios correos electrónicos: - 09/04/2024: "la información clínica sobre la que haces referencia está subida en la nube y nosotros no tenemos acceso, sólo el profesional con el que se ha trabajado" - 22/04/2024: "la nube pertenece a Amalgama
- Y nosotros no podemos acceder, ya que debe ser el profesional, por ser documentación personal. - 23/04/2024: "la documentación de la nube, son las anotaciones de los terapeutas en el sistema informático interno de Amalgama7...El resto de la documentación física es la que ya se te ha entregado. Y con respecto a B.B.B., está de baja actualmente. No obstante, puedes mandarla un email para que ella pueda verlo en su incorporación" [así lo hizo en fechas 25/06, 02/7, 27/07, 04/08, 15/09, y 20/12/2024]. - 20/09/2024: "Como se te explico en correo anteriores, no se puede eliminar la información clínica y tampoco podemos acceder a ella. Esa información la guardó B.B.B. y ella sigue de baja" La respuesta de la parte reclamada ante la AEPD el 25/03/2025, ignora totalmente esta petición, limitándose a afirmar que satisficieron el derecho con la entrega de documentación el 03/04/2024 y no hay nada que cambiar/mejorar. Con posterioridad a la contestación, el 27/07/2025, la parte reclamante adjunta audio de una conversación con la directora del centro en la que reconoce que existe información de la nube que no le han facilitado, que no pueden acceder porque la psicóloga está de baja (luego dice excedencia), que lo que hay en la nube no es "documentación", que no le pueden dar acceso a "su" nube... Hay que destacar, que la propiedad de la cuenta en la que está la documentación de la nube pertenece a la parte reclamada, tal y como afirma en el correo de 22/04/2024 y por lo tanto es una cuenta corporativa. En este caso, la empresa es dueña de la cuenta y su contenido, por lo que, si pueden acceder a los documentos o archivos de sus trabajadores. Las plataformas como Google Drive, OneDrive, Dropbox Business, etc., permiten a los administradores (TI, recursos humanos, etc.): C/ Jorge Juan, 6 28001 – Madrid o Ver archivos compartidos. o Transferir propiedad de archivos de cuentas inactivas a otro empleado. o Restringir tu acceso si te despiden o renuncias. www.aepd.es sedeaepd.gob.es 14/16 Por lo tanto, no puede aceptarse como respuesta que: "la nube pertenece a Amalgama
- Y nosotros no podemos acceder, ya que debe ser el profesional, por ser documentación personal”, la parte reclamada está obligada a dar el acceso de los documentos que estén en la nube y que pertenezcan a la parte reclamante siempre que no sean anotaciones subjetivas que puedan afectar a terceras personas y al propio profesional sanitario participante en la elaboración de estas. Las anotaciones subjetivas, son notas personales o valoraciones del profesional sanitario, no destinadas a compartirse, que pueden estar protegidas si: Son estrictamente personales y no relevantes clínicamente. Están debidamente separadas en la historia (por ejemplo, en un apartado específico). Su revelación podría afectar la intimidad o el juicio clínico del profesional, o los derechos de terceros. Por lo tanto, la parte reclamada no está obligada a entregar esta documentación si son anotaciones subjetivas y que puedan afectar a terceras personas. La parte reclamada hace referencia a este argumento, por vez primera, en su escrito a esta Agencia el 17/10/2025, en el asegura que se ha facilitado a la parte reclamante todos los documentos que obran en su poder, salvo las anotaciones subjetivas: “(…) Además del apartado “Documentos”, en el aplicativo informático se encuentran, entre otros, las anotaciones subjetivas que NO se facilitan por afectar a terceras personas y al propio profesional sanitario participante en la elaboración de estas, e incardinarse en el supuesto que determina el artículo 18.3 el cual reza textualmente: “
- El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas”. No obstante, no consta que esta respuesta haya sido facilitada a la parte reclamante en contestación a su solicitud del derecho de acceso a su historia clínica. La parte reclamada dice que en lo referente a la existencia de información personal del reclamante diferente a la proporcionada y existente en lo que el interesado denomina “nube”, se reitera en que los datos personales que trata la entidad son los entregados en papel al reclamante y que son los mismos que existen en el ámbito digital, con las excepciones que la normativa prevé. Informar a la parte reclamada, que debe acreditar ante esta Agencia contestación que se le dé respecto a la documentación que está en la denominada “nube”. Así, no cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/16 Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar parcialmente la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a AMALGAMA 7 I ASSOCIATS CENTRE D'ATENCIO BIO PSICO SOCIAL AL JOVE I A L'ADOLESCENT, S.L. con NIF B61676763, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a AMALGAMA 7 I ASSOCIATS CENTRE D'ATENCIO BIO PSICO SOCIAL AL JOVE I A L'ADOLESCENT, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/16 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es