PD-00331-2025

1/14  Expediente N.º: EXP202515920 (PD/00331/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 1 de agosto de 2025 ante esta Agencia Española de Protección de Datos, (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de acceso frente al INSTITUTO NACIONAL DE GESTIÓN SANITARIA de la ciudad de Melilla, CIF.: Q2869002B (en lo sucesivo, INGESA o la parte reclamada). El reclamante manifiesta en su escrito de reclamación haber ejercido en diversas ocasiones ante el INGESA (Hospital Comarcal de Melilla) y en el ámbito de atención primaria su derecho de acceso a los datos personales obrantes en su historia clínica, solicitando información detallada sobre los accesos realizados por profesionales sanitarios, incluyendo la identidad de dichos profesionales, fecha y hora de cada acceso, categoría profesional, unidad o servicio de procedencia, justificación del acceso y copia de las anotaciones o comentarios generados. Según expone, la información facilitada por el INGESA habría sido parcial, inconexa e incomprensible, omitiendo la mayoría de los elementos expresamente solicitados, pese a haber reiterado su petición por escrito, e indica que la documentación recibida consistía en documentos fragmentados y listados genéricos, sin motivación, sin identificación de la categoría profesional ni inclusión de anotaciones. Junto al escrito de reclamación presenta, entre otra, la siguiente documentación: - Solicitud inicial de ejercicio del derecho de acceso (30/06/2025): Escrito dirigido al INGESA – Dirección Territorial de Melilla, mediante el cual solicita el acceso al registro de accesos a su historia clínica (Atención Primaria y Atención Especializada) correspondientes a los años 2021 a 2025, detallando expresamente los datos requeridos (identidad del profesional o unidad, fecha del acceso y finalidad del mismo). Asimismo, solicita el acceso a los registros de la historia clínica de su hijo menor, en calidad de representante legal. - Escrito de remisión del INGESA el 11 julio de 2025: Comunicación emitida por la Gerencia de Atención Sanitaria de Melilla, en la que se indica que, en relación con una reclamación previa, se adjunta la información solicitada compuesta por el listado de accesos a la historia clínica (HC nº ***REFERENCIA.1) que recoge un registro de accesos realizados entre los años 2021 y 2024, con identificación de profesionales y el listado de accesos a la historia clínica (HC nº ***REFERENCIA.2): Registro de accesos correspondiente a los años 2021 a 2025, con enumeración de profesionales que habrían accedido a la historia clínica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 - Escrito de reclamación ante la Gerencia del Hospital Comarcal de Melilla (17/07/2025): la reclamante manifiesta que la información facilitada resulta parcial e incompleta, denuncia la existencia de accesos reiterados y continuados por parte de profesionales con los que no ha mantenido relación asistencial y solicita información detallada (fecha y hora exacta, categoría profesional, motivo del acceso y si se generaron anotaciones). - Solicitud de acceso y entrega de historia clínica completa (20/07/2025): Escrito dirigido al Área de Gestión Clínica / Servicio de Atención al Paciente, solicitando copia íntegra de la historia clínica desde enero de 2020, incluyendo episodios, anotaciones, autoría, servicios y modificaciones posteriores, así como registros de accesos profesionales. - Formulario de reclamación administrativa interna (23/07/2025): Documento normalizado del Hospital Comarcal de Melilla, en el que se formula reclamación por escrito relativa al ámbito administrativo, constando fecha y datos identificativos del reclamante. - Escrito de reclamación por entrega incompleta de información (28/07/2025): Reclamación detallada en la que el interesado reitera que la respuesta recibida es incompleta y no conforme al artículo 15 del RGPD, enumerando de forma expresa los datos omitidos (fecha exacta del acceso, perfil profesional, unidad, motivo, tipo de acción realizada y anotaciones). - Solicitudes de documentación clínica en Atención Primaria (julio y agosto de 2025): Formularios dirigidos a Atención Primaria de Melilla solicitando historial clínico por episodios y registros de accesos, vinculados a un procedimiento judicial, con constancia de fechas y firma del solicitante. SEGUNDO: En fecha 16 de agosto de 2025, la reclamante presenta un nuevo escrito ante esta AEPD en el que manifiesta que, con fecha 1 de julio de 2025, ejercitó ante el INGESA, Dirección Territorial de Melilla, su derecho de acceso a los datos personales. La solicitud tenía por objeto el acceso a los registros de accesos a su historia clínica y a la de su hijo menor, tanto en Atención Primaria como en Atención Especializada, correspondientes a los años 2021 a 2025, incluyendo la identificación del profesional o unidad que hubiera accedido a los datos, la fecha y la finalidad o tipo de acción. La reclamante señala que el motivo de la solicitud se fundamenta en la existencia de indicios de accesos indebidos por parte de personas sin vínculo asistencial, en un contexto de conflicto laboral con INGESA y de procedimientos judiciales en curso, lo que, a su juicio, incrementa el riesgo de un uso ilícito de los datos sanitarios. Manifiesta que la respuesta facilitada por INGESA ha sido parcial e incompleta, al haberse proporcionado únicamente un listado parcial de accesos correspondiente a Atención Especializada, sin incluir Atención Primaria, sin información relativa a la historia clínica de su hijo y sin detallar la especialidad, finalidad ni el tipo de acción realizada, constando identificaciones incompletas de los profesionales. Junto al escrito acompaña la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 - Diligencia de ordenación dictada por el Juzgado de lo ContenciosoAdministrativo nº 3 de Melilla, en el marco del Procedimiento Abreviado ***REFERENCIA.3, seguido a instancia de la reclamante frente al INGESA. En la diligencia se deja constancia de que, una vez transcurrido el plazo legal sin que ninguna de las partes haya interpuesto recurso contra el auto dictado en el procedimiento, se declara la firmeza de dicha resolución. Asimismo, se acuerda librar oficio al Tribunal Superior de Justicia de Andalucía, con sede en Málaga, remitiendo el auto y la exposición razonada, junto con los escritos de interposición de la demanda, la documentación aportada y las alegaciones formuladas por las partes en relación con la cuestión de competencia. - Respuesta emitida por el INGESA– Gerencia de Atención Sanitaria de Melilla, en relación con una reclamación administrativa previa. En el oficio se indica que, en relación con la reclamación nº ***REFERENCIA.4, de fecha 7 de julio de 2025, se adjunta la información solicitada por el interesado. El escrito va firmado por el Gerente de Atención Sanitaria y constituye la contestación formal del organismo reclamado. Como documentación anexa, se incorporan listados denominados “Registro de accesos realizados” a dos historias clínicas identificadas (HC nº ***REFERENCIA.1 y HC nº ***REFERENCIA.2), correspondientes al período 2021-2025, (agrupados por año, sin especificar fecha concreta), en los que se relacionan los nombres de los usuarios que habrían accedido a dichas historias. TERCERO: En fecha 1 de octubre de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica el 01/10/2025 que tuvo como resultado: “Fecha de acceso al contenido de la notificación: 01/10/2025”, como consta en el justificante de recibo que figura en el expediente. No consta ningún tipo de respuesta del reclamado a dicho traslado. CUARTO: En fecha 1 de noviembre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: En fecha 14 de noviembre de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. SEXTO: En fecha 24 de noviembre de 2025, la parte reclamada presenta escrito de alegaciones en el que manifiesta que ha procedido a remitir la información disponible C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 relativa a los accesos a la historia clínica de la reclamante en el ámbito de Atención Primaria, conforme a lo solicitado por esta Agencia. Asimismo, señala que no le ha sido posible facilitar la información completa relativa a los accesos y episodios clínicos correspondientes a la historia clínica del hijo menor de la reclamante, al no constar en el expediente remitido por la AEPD los datos identificativos necesarios. Junto al escrito de alegaciones, se presenta la siguiente documentación: - Listado de accesos realizados a una historia clínica identificada con el número NHC ***REFERENCIA.5, abarcando desde el año 2006 hasta 2025. Para cada acceso se incluyen, de forma tabulada, los siguientes datos: un número interno de registro del acceso, la fecha en la que se produjo, el tipo de dato o módulo accedido (por ejemplo, HC, DA, WS), el número de historia clínica, un campo de motivo o acción técnica en algunos casos (p. ej., “WS_INGESA_AltaPrescripcion”, “WS_INGESA_RecibirMensaje”), la categoría profesional (médico, enfermería, administración, celador, etc.), la identidad nominal del profesional (nombre y apellidos), y su documento identificativo. SÉPTIMO: En fecha 10 de diciembre de 2025, se concedió a la parte reclamante trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. OCTAVO: En fecha 10 de diciembre de 2025, la parte reclamante presenta escrito de alegaciones en el que: - Sostiene que, en su reclamación inicial, ejerció de forma expresa y completa su derecho de acceso a los datos personales contenidos en sus historias clínicas de Atención Primaria y Atención Especializada, así como la de su hijo menor, solicitando información detallada sobre todos los accesos realizados, incluyendo identidad del profesional, fecha y hora, categoría profesional, unidad o servicio, finalidad del acceso y anotaciones clínicas del 2020 al 2025. - Alega que la respuesta remitida por el INGESA a la AEPD es parcial e inadecuada, al limitarse a accesos de Atención Primaria, omitir los accesos hospitalarios que constan en los sistemas del propio organismo y solicitar nuevamente datos identificativos de su hijo que, según afirma, ya obraban en el expediente desde el inicio. Considera que dicha actuación desnaturaliza el objeto de la reclamación y no satisface el requerimiento de la Agencia. - Denuncia que la información aportada carece de campos esenciales —finalidad del acceso, unidad o servicio, categoría profesional, tipo de acción realizada y anotaciones— y utiliza códigos no explicados, lo que impide una comprensión clara e inteligible de los accesos. Añade que la certificación incorporada al expediente se limita a una validación formal del documento, sin acreditar la completitud ni exhaustividad de los datos facilitados. - Sostiene que la actuación del INGESA evidencia una falta de cooperación y de responsabilidad proactiva, vulnerando los artículos 5, 31 y 58 del RGPD, aportando como indicio correos electrónicos intercambiados con la Delegada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 de Protección de Datos que, a su juicio, reflejan demoras injustificadas y deficiencias de coordinación interna. En consecuencia, solicita que se declare insuficiente la información remitida, se requiera nuevamente su aportación íntegra —incluida la relativa a su hijo menor— y se valore la adopción de actuaciones sancionadoras. Junto al escrito de alegaciones presenta la cadena de correos electrónicos intercambiados con la Delegada de Protección de Datos (en lo sucesivo, DPD) del INGESA, B.B.B., y que versan sobre la gestión y seguimiento del ejercicio del derecho de acceso a la historia clínica y a los registros de accesos. En concreto, la información que contiene es la siguiente: - Comunicación de la DPD a la reclamante en la que indica que responde en ese hilo porque el interesado había preguntado si se habían recibido sus correos previos, y le propone trasladar la cuestión a una conversación telefónica, facilitando un número de contacto, para comentar “lo que necesite”. - Correo posterior de la DPD en el que manifiesta haber recibido la solicitud y señala que al día siguiente gestionará el asunto con el Registro, poniendo en copia a otro compañero para dejar constancia. - Correo de la reclamante en el que solicita novedades sobre sus solicitudes, reitera su interés en obtener respuesta y facilita nuevamente sus datos. - Respuesta de la DPD en la que reconoce expresamente que no dispone de novedades, que ha escrito al Registro de Melilla para recabar información sin haber obtenido respuesta, y que vuelve a realizar un recordatorio, disculpándose por el retraso en la tramitación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 1 de noviembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Así tenemos como el artículo 15 del RGPD establece que: 1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

1. a)los fines del tratamiento;
2. b)las categorías de datos personales de que se trate;
3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
6. f)el derecho a presentar una reclamación ante una autoridad de control;
7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. - Sobre el derecho de acceso en relación con la historia clínica: Este derecho se regula específicamente en el artículo 18 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica (en lo sucesivo LAP), cuyo tenor literal expresa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 "1. El paciente tiene derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. 3. El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas. 4.Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o, de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso, el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros". En este sentido, hay que destacar el artículo 15 de la LAP que recoge el contenido mínimo de la historia clínica: "1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente:
9. a)La documentación relativa a la hoja clínico-estadística.
10. b)La autorización de ingreso.
11. c)El informe de urgencia.
12. d)La anamnesis y la exploración física.
13. e)La evolución.
14. f)Las órdenes médicas.
15. g)La hoja de interconsulta.
16. h)Los informes de exploraciones complementarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14
17. i)El consentimiento informado.
18. j)El informe de anestesia.
19. k)El informe de quirófano o de registro del parto.
20. l)El informe de anatomía patológica.
21. m)La evolución y planificación de cuidados de enfermería.
22. n)La aplicación terapéutica de enfermería. ñ) El gráfico de constantes.
23. o)El informe clínico de alta. Los párrafos b), c), i), j), k), I), ñ) y
24. o)sólo serán exigibles en la cumplimentación de la historia clínica cuando se trate de procesos de hospitalización o así se disponga. 3. La cumplimentación de la historia clínica, en los aspectos relacionados con la asistencia directa al paciente, será responsabilidad de los profesionales que intervengan en ella. 4. La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo, para facilitar el mejor y más oportuno conocimiento por los facultativos de los datos de un determinado paciente en cada proceso asistencial". Respecto a la conservación de la historia clínica, el artículo 17 de la LAP, en sus puntos 1 y 5, dispone que: "1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial (...). 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen". IV Conclusión El presente procedimiento de tutela de derechos se instruye como consecuencia de la inadecuada atención del derecho de acceso ejercido por la parte reclamante, conforme a lo previsto en el RGPD, la LOPDGDD, y la Ley 41/2002, básica reguladora de la autonomía del paciente. En consecuencia, el análisis efectuado se circunscribe exclusivamente a los hechos directamente relacionados con el ejercicio y la satisfacción de dicho derecho, quedando al margen cualesquiera otras cuestiones ajenas a su objeto. De la documentación obrante en el expediente resulta acreditado que la parte reclamante ha ejercitado su derecho de acceso de manera reiterada, expresa y con un elevado grado de concreción, tanto respecto de los datos personales contenidos en su propia historia clínica como respecto de los registros de accesos a la misma, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 extendiendo además dicho ejercicio a la historia clínica de su hijo menor de edad, actuando en su condición de representante legal. En particular, mediante solicitud de fecha 30/06/2025, interesó el acceso al registro de accesos a su historia clínica en los ámbitos de atención primaria y atención especializada para el período comprendido entre los años 2021 y 2025, solicitando expresamente, para cada acceso, la identificación del profesional o unidad interviniente, la fecha del acceso y la finalidad o tipo de acción realizada, así como el acceso a los registros correspondientes a la historia clínica de su hijo. Posteriormente, mediante escrito de 17/07/2025, la reclamante precisó y amplió el alcance de su solicitud, interesando la indicación de la fecha y hora exactas de cada acceso, la categoría profesional y especialidad de los intervinientes, la determinación de si existía o no relación asistencial, así como un informe que justificase individualmente el motivo clínico, administrativo o jurídico de cada acceso, con indicación de si existió acto médico, consulta o intervención real. Asimismo, solicitó la ampliación del período al año 2020 y que la certificación del listado de accesos se extendiese a la totalidad de sus páginas, con sello y firma de validación administrativa. Finalmente, mediante escrito de 20/07/2025, ejercitó nuevamente su derecho de acceso solicitando la entrega de copia íntegra de su historia clínica desde el 01/01/2020 hasta la fecha, en soporte físico o digital, incluyendo los episodios clínicos, la fecha exacta de creación de cada anotación, la identidad y categoría profesional del autor, la unidad, servicio o centro generador de cada entrada, así como cualquier modificación o añadido posterior, interesando además que se indicase expresamente si existían registros generados por profesionales sin relación asistencial. La información inicialmente proporcionada por la entidad reclamada mediante escrito de 11/07/2025 se limitó a la remisión de dos listados denominados “registro de accesos realizados”, correspondientes a las historias clínicas nº ***REFERENCIA.1 y nº ***REFERENCIA.2, referidos al período 2021-2025, en los que se relacionaban los nombres de los profesionales que habrían accedido a dichas historias, agrupados por anualidades sin especificar fecha concreta. Tal información no incorporaba, de forma completa ni comprensible, elementos esenciales expresamente solicitados por la reclamante, tales como los accesos en atención primaria, los datos relativos a la historia clínica del menor, la finalidad del acceso o el tipo de acción realizada, la fecha y hora exactas, la unidad o servicio de procedencia, ni una motivación individualizada de los accesos, ni tampoco las anotaciones o comentarios clínicos generados. Posteriormente, ya en el marco del presente procedimiento ante esta Agencia y tras el trámite conferido, la parte reclamada aportó, mediante escrito de 24/11/2025, un listado de accesos correspondiente a una historia clínica identificada como NHC ***REFERENCIA.5, abarcando el período 2006-2025, en el que se incluían campos adicionales tales como número interno de registro, fecha, tipo de dato o módulo accedido, número de historia clínica, determinadas acciones técnicas, categoría profesional, identidad nominal del profesional y documento identificativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 No obstante, dicha información se limitó al ámbito de la atención primaria y fue acompañada de la alegación de imposibilidad de facilitar la información relativa a la historia clínica de su hijo menor de edad por falta de datos identificativos suficientes. A la luz del marco normativo aplicable, esta actuación debe valorarse conforme al contenido y alcance del derecho de acceso reconocido en el artículo 15 del RGPD, desarrollado por los artículos 12 y 13 de la LOPDGDD, y, específicamente en el ámbito sanitario, por los artículos 15 y 18 de la Ley 41/2002. Asimismo, resulta de aplicación la interpretación efectuada por las Directrices 1/2022 del Comité Europeo de Protección de Datos, en su versión de 28 de marzo de 2023, que precisan que el derecho de acceso se compone de tres elementos inseparables: la confirmación de si se tratan o no datos personales, el acceso efectivo a los datos personales reales objeto de tratamiento y la información relativa al tratamiento realizado. Dichas Directrices subrayan que el acceso debe recaer sobre los datos personales concretos, no sobre descripciones generales o listados abstractos, y que, salvo limitación expresa del interesado, la información debe facilitarse en su totalidad, de forma completa, correcta, actualizada e inteligible. En este sentido, una respuesta consistente exclusivamente en listados nominativos genéricos, estructurados por años y carentes de contextualización suficiente, sin integrar —cuando así se solicita— elementos esenciales como la finalidad del acceso, la relación asistencial, la unidad o servicio, la explicación inteligible de los códigos técnicos utilizados o la entrega de copia íntegra de la documentación clínica, no satisface las exigencias de transparencia, claridad e inteligibilidad impuestas por el artículo 12 del RGPD ni el contenido material del derecho de acceso del artículo 15 del RGPD. Del mismo modo, dichos listados no sustituyen, por sí solos, la entrega de copia íntegra de la historia clínica cuando esta ha sido solicitada expresamente, derecho reconocido de manera específica en el artículo 18.1 de la Ley 41/2002, con las únicas reservas previstas en su apartado tercero. Por otra parte, en lo relativo a la historia clínica del hijo menor, si bien el responsable del tratamiento puede requerir información adicional cuando no esté en condiciones de identificar adecuadamente al interesado o precisar el alcance de la solicitud (art. 12.6 RGPD y art. 13 LOPDGDD), dicha posibilidad no exime del deber de tramitación diligente ni justifica una falta de atención global de la solicitud, debiendo el responsable acreditar su actuación diligente y motivar de forma clara y verificable cualquier denegación, conforme a lo dispuesto en los artículos 12.3 y 12.4 del RGPD. En consecuencia, del análisis conjunto de la documentación obrante en el expediente se concluye que la parte reclamante solicitó un acceso amplio, completo y detallado, que comprendía tanto los registros de accesos como la copia íntegra de la historia clínica desde el año 2020, con los metadatos necesarios para comprender el tratamiento de sus datos personales. Frente a ello, la entidad reclamada ha facilitado únicamente información parcial, fragmentada y carente de la inteligibilidad exigida, sin que conste la entrega íntegra de la documentación clínica solicitada ni la satisfacción completa de lo pedido respecto de la historia clínica del menor. La normativa aplicable no permite que una solicitud de ejercicio de derechos sea desatendida, ni siquiera de forma implícita, ni que se tenga por cumplida mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 respuestas parciales o genéricas. Por el contrario, el responsable del tratamiento se encuentra obligado, en todo caso, a emitir una respuesta expresa, utilizando un medio que permita acreditar su recepción, aun en el supuesto de que no existan datos personales del interesado o de que la solicitud adolezca de defectos formales, en cuyo caso deberá requerirse su subsanación o denegarse motivadamente, indicando las razones que lo justifiquen. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Por todo lo expuesto, se concluye que la entidad reclamada no ha atendido de forma completa y conforme a derecho el ejercicio del derecho de acceso, al no haber facilitado a la parte reclamante la totalidad de la información exigida por los artículos 15.1 y 15.2 del RGPD, 12 y 13 de la LOPDGDD y 15 y 18 de la LAP, resultando, en consecuencia, incompleto e insuficiente el acceso concedido. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente al INSTITUTO NACIONAL DE GESTIÓN SANITARIA de la ciudad de Melilla al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar al INSTITUTO NACIONAL DE GESTIÓN SANITARIA de la ciudad de Melilla, para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de acceso ejercido, tanto el suyo como el de su hijo menor de edad, o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
25. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y al INSTITUTO NACIONAL DE GESTIÓN SANITARIA de la ciudad de Melilla, De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es