PS-00074-2020

1/37  Procedimiento Nº: PS/00074/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5/09/2019 se recibe reclamación de A.A.A.. Manifiesta que el 2/08/2019 se realizó una resonancia magnética de la rodilla derecha en el HOSPITAL CAMPOGRANDE DE ***LOCALIDAD.1 solicitada a través de su seguro privado ADESLAS. El día 27 del mismo mes, por un accidente en el centro de trabajo, “se le solicitó por la MUTUA de la empresa” otra resonancia magnética de la misma rodilla en el HOSPITAL SAGRADO CORAZÓN DE ***LOCALIDAD.1 (CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A., reclamado) En el informe de esta segunda resonancia, resulta que se alude a la primera, realizada el día 2/08 por su seguro privado, y cuando este segundo informe llega a la MUTUA, “la doctora que le atiende le dice que se dirija a su médico privado o a la Seguridad Social, ya que ellos no pueden considerar el accidente en el centro de trabajo como laboral, pues hay una resonancia magnética anterior realizada en la misma parte del mismo miembro.” Indica: - “Al ser entidades distintas las que han solicitado las resonancias magnéticas, aunque se hayan realizado en distintos centros de la misma empresa, se ha dado información a una entidad de lo que yo he realizado a través de otra entidad privada. “ -“Entiendo que en el caso de un riesgo inminente de que suceda algo fatal, la información de salud deba ser tenida en cuenta, pero no es este el caso. No hay un riesgo inminente de fallecimiento.” “Entiendo que, aunque cada empresa tenga una misma historia clínica en todos sus centros, es para el paciente, no para que sea distribuida a los diferentes clientes de esa empresa.” En el nombre del reclamado, indica CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A. Aporta:

1. a)En archivo denominado “***ARCHIVO.1”, en pdf, contiene hoja de “información clínica” “descartar lesión del cuerno posterior del menisco externo” RM rodilla derecha, firmado el 2/08/2019, “estudio rodilla derecha” En margen izquierdo figura “CENTRO DE DIAGNÓSTICO CAMPO GRANDE S.L”, y en el margen izquierdo de la hoja el logo y el literal “AFFIDEA”. Debajo de los datos personales del reclamante figura el número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/37 historia clínica.
2. b)En archivo denominado “***ARCHIVO.2”, en pdf, se adjunta hoja de “información clínica”: “sospecha lesión menisco interno”, RM rodilla derecha, “Estudio resonancia magnética rodilla derecha” fecha 27/08/2019. En el apartado hallazgos, se refiere a un estudio realizado previamente porque al inicio mismo indica “comparo con estudio previo realizado el 2/08/2019” y en el análisis médico utiliza la palabra “sin cambios respecto al estudio previo”, con comentarios como: “se observa una hiper intensidad de señal lineal en cuerno posterior del menisco interno en relación con una fisura sin cambios respecto al estudio previo” o “ mejora significativa del esguince del colateral interno en el momento actual”, o la referencia al cruzado anterior “sin cambios inflamatorios agudos”. En la parte izquierda figura “CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A.”, y en la parte inferior, la dirección y la web, affidea.es. Debajo de los datos personales del reclamante figura el número de historia clínica. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, se trasladó la reclamación al CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A. el 24/10/2019, por el sistema telemático notific@ y consta notificación finalizada por realizada el 25/10/2019, sin que se haya atendido la petición. TERCERO: Con fecha 21/02/2020, la reclamación es admitida a trámite. CUARTO: Con fecha 4/06/2020 se dicta acuerdo de inicio de procedimiento sancionador con el literal: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR conforme señala el artículo 58.2.
3. i)del RGPD a CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1, S.A., con CIF ***CIF.1, por la presunta infracción del artículo 5.1.
4. f)del RGPD, en relación con el artículo 5 de la LOPDGDD, conforme señala el artículo 83.5
5. a)del RGPD. SEGUNDO: A los efectos previstos en el 58.2.
6. i)del RGPD, la sanción que pudiera corresponder por la presunta infracción de la citada disposición sería de una multa administrativa de 10.000 €, de conformidad con el 83.2
7. g)del RGPD, sin perjuicio de lo que resulte de la instrucción.” QUINTO: Con fecha 22/06/2020, (folio 121/133 a esa fecha) el reclamado efectúa las siguientes alegaciones: 1) Su entidad “cuenta con el consentimiento del paciente para la cesión de sus datos a la entidad responsable de su cobertura de salud, en este caso la MUTUA FREMAP”-Aporta copia del contrato entre FREMAP MUTUA colaboradora con la Seguridad Social núm. 61 y CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 SAU (folio 38/133) referido a la contratación del servicio de diagnóstico por la imagen mediante TAC y ecografía, en ***LOCALIDAD.1, de 21/12/2018. La tramitación y formalización del contrato se realiza en virtud de las estipulaciones de la orden TIN 2789/2009 de 14/10 por las que se implantan el modelo normalizado para la tramitación de solicitudes de autorización y comunicaciones de los conciertos con medios privados para hacer efectivas las prestaciones sanitarias y recuperadoras de las Mutuas y según lo dispuesto en el Real Decreto 1630/2011 de 14/11 por el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/37 se regula la prestación de los servicios sanitarios y de recuperación de Mutuas. El reclamado aportó copia de contrato FREMAP Mutua colaboradora con la Seguridad Social y CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 SAU, referido a la contratación del servicio de diagnóstico por imagen mediante resonancia magnética en ***LOCALIDAD.1, de 21/12/2018, “servicio que efectuará de acuerdo con la oferta que presentó y a lo establecido en los pliegos de cláusulas administrativas y de prescripciones técnicas”. “El servicio objeto de contratación será ejecutado por el personal del reclamado o en su caso empresas subcontratistas dependiendo a todos los efectos de la adjudicataria. El adjudicatario se obliga a dedicar todos los medios personales y materiales necesarios para llevar a buen término el objeto del servicio contratado en los términos fijados en los pliegos” -Adjuntan documento 1, (folio 114) copia de la “cláusula de Protección de Datos” firmada por el reclamante el 27/08/2019. Se contienen sus datos, el número de historia clínica con pegatina FREMAPSS FREMAPSSCC, AFFIDEA SAGRADO CORAZON, 8 h 55 y en el literal figura: “su consentimiento de protección de datos” “Finalidad principal para la prestación de servicios médicos”, “Yo, abajo firmante, mediante la firma del presente documento reconozco que he recibido la política de privacidad y se me ha informado de cómo AFFIDEA procesará los datos personales con el fin de llevar a cabo el diagnóstico médico y/o la prestación de los servicios médicos solicitados”. “Finalidades adicionales” (en función de las posibilidades de prestar estos servicios de cada centro de diagnóstico). Está marcado en relación con el asunto: - “consiento la cesión de datos a mi médico prescriptor y/o mi cobertura de salud y he sido informado de que, en caso de oposición, la prestación del servicio será a mi cargo como paciente particular.” Antes del apartado en el que figura: “su consentimiento de protección de datos” se indica: “nuestra política de privacidad para los pacientes contiene la información esencial acerca de nuestro tratamiento de datos en la prestación de nuestros servicios médicos. Le rogamos lea este documento en el que se le informa del por qué y cómo se procesa su información personal. En nuestra política de privacidad podrá encontrar información relativa a los siguientes aspectos: A identidad y datos de contacto del controlador de datos, B datos de contacto del director de Protección de Datos, C objeto y fundamento legal para su tratamiento, D fuentes de sus datos personales, E destinatarios de sus datos personales, F periodo en el que se almacenarán los datos personales, G derechos bajo las leyes de Protección de Datos, H transferencias internacionales de datos 2) En el grupo AFFIDEA ESPAÑA no se han limitado a integrar la historia clínica a nivel de cada Centro, sino que en aplicación de lo que señala el artículo 14.1 de la Ley 41/2002 de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, (LAP en lo sucesivo) han implantado la historia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/37 clínica única en todo el Grupo. No se hace distinción de si la historia es de la sanidad pública o privada y se deriva del precepto legal que determina la citada integración. “En la política de privacidad para los pacientes de la página web del grupo AFFIDEA España se informa expresamente a los pacientes de la existencia de una historia clínica única, utilizando los siguientes términos: le informamos de que para un mejor diagnóstico médico gestionamos su historia clínica de manera única de forma que las diferentes entidades del Grupo AFFIDEA España pueda acceder a su historial clínico, siempre con el fin de prestar un servicio médico más preciso”. 3) “Existe un consenso global sobre la importancia de la compartición de la información clínica única e interoperable que integre los datos de la sanidad pública y privada que se refleja en numerosas recomendaciones y planes de acción a nivel nacional e internacional. “Disponer de Información correcta en el momento adecuado aporta beneficios a los actores y un impacto positivo en todos los niveles del sistema sanitario.” 4) Menciona que actúa de acuerdo con el interés general, que debe prevalecer sobre el particular, con relación a garantizar una asistencia sanitaria de calidad. Considera que diversas fuentes avalan la necesidad de acceso a los estudios e informes previos y la información clínica adicional, así como la necesidad de la coordinación de las historias, para asegurar la calidad de la asistencia sanitaria del paciente. Entre ellas: -La Sociedad Española de Radiología médica elaboró un “decálogo de buenas prácticas en tele radiología” (se obtiene accediendo a internet, y se incorpora al procedimiento en archivo PDF con 51 folios). Se incluyen aspectos relacionados con profesionales y pacientes con el proceso radiológico y la tecnología. Entre otros aspectos, incluyen el punto 7 bajo el título: “el acceso a los estudios e informes previos y la información clínica adicional son elementos imprescindibles para asegurar la calidad del informe radiológico”. En él, se indica que la falta de revisión de exploraciones radiológicas previas es una causa importante de mala praxis y de errores en la generación de informes radiológicos, que se precisa de una interpretación de manera completa, no deben existir limitaciones ni barreras para acceder a los estudios, informes previos, e información clínica adicional por parte del radiólogo. Se indica también que “La autorización para examinar, analizar, verificar cualquier registro e informe que sea importante, para la realización del informe radiológico, deberá ser otorgada por escrito por el paciente y se deberán tomar todas las precauciones posibles dentro de las restricciones que establece la legislación vigente, con el fin de mantener la confidencialidad y la protección de datos de los pacientes.” -Cita la disposición adicional tercera de la LAP que establece la “Coordinación de las historias clínicas” al determinar que: “El Ministerio de Sanidad y Consumo, en coordinación y con la colaboración de las Comunidades Autónomas competentes en la materia, promoverá, con la participación de todos los interesados, la implantación de un sistema de compatibilidad que, atendida la evolución y disponibilidad de los recursos técnicos, y la diversidad de sistemas y tipos de historias clínicas, posibilite su uso por los centros asistenciales de España que atiendan a un mismo paciente, en evitación de que los atendidos en diversos centros se sometan a exploraciones y procedimientos de innecesaria repetición.” Tal y como se desprende de la resolución del procedimiento PS 287/2018 de la AEPD, (HOSPITAL POVISA) “si la ley no distingue ni limita, luego la AEPD no debe diferenciar refiriéndose a los sistemas públicos y privados de salud ” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/37 -Del artículo 56 de la ley 16/2003 de 28/05, de cohesión y calidad del Sistema Nacional de salud, se deduce que no resulta lógico ni razonable entender que la mejora de la asistencia sanitaria a los ciudadanos proviene y se debe garantizar sólo con los datos obtenidos de la sanidad pública poniendo como ejemplo una persona que únicamente dispone de historia clínica privada y que podría acudir a un centro público a recibir asistencia en urgencias, pudiéndose derivar responsabilidades por falta de conocimiento de la historia privada . - “El grupo AFFIDEA ESPAÑA tiene el sistema implementado pensando en el interés de los pacientes, velando por su seguridad asistencial y careciendo de intereses propios”. “La finalidad perseguida es la de una mayor seguridad asistencial para los pacientes permitiendo la unificación de los procesos asistenciales con independencia de quien resulte el pagador de la asistencia sanitaria, toda vez que se persigue una mayor garantía de la calidad de la sanidad y de protección para los pacientes. Resulta incongruente y arriesgado limitar el acceso sólo a los procesos asistenciales en la sanidad pública si lo que se busca es garantizar una asistencia de calidad y mayor seguridad.” 5) Alude a parte del contenido de la sentencia de la Audiencia Nacional, sala de lo contencioso administrativo, sección una, de 22/09/2004, que valora una resolución de la AEPD, en base a una actuación profesional médica continuada en el marco de seguro privado y un siniestro, con imputación de cesión de datos de tipo médico obtenidos de un primer examen médico utilizados para un procedimiento judicial. Traslada el sentido que entiende se desprende de dicha sentencia, al caso de esta reclamación, como atención medica profesional continuada. La sentencia a qué se refiere, aunque no la cita, es concretamente de fecha 22/09/2004, rec. 888/2002 y estima el recurso del cedente de datos, un Gabinete Médico, al que se le imputaba la infracción indicando y concluyendo que se trata de un caso distinto a la comunicación a la Mutua del parte del informe de que trata este procedimiento como se deduce , al señalar: “Seguros La Estrella ya conocía el resultado de la exploración médica que Gabinete Cervantes había realizado inicialmente a las denunciantes (hecho probado segundo), con su consentimiento, y antes de que las mismas demandaran a dicha aseguradora en el procedimiento judicial, así deriva no solo de los folios 135 a 144 del expediente administrativo que se citan en la demanda, sino, sobre todo, de la propia mecánica de abono de las indemnizaciones que corresponde satisfacer por las Compañías de Seguros a sus asegurados en los casos de siniestros, mecánica de cobertura de riesgos y de pago del importe de los daños derivados de tales siniestros que se regula minuciosamente tanto en la Ley 50/1980, de 8 de octubre , de Contratos de Seguro, como en la Ley 30/1995, de 8 de noviembre , de Ordenación y Supervisión de Seguros Privados. En definitiva, y puesto que, no existió en el supuesto una segunda o nueva cesión, sino una nueva utilización por el cesionario (la Compañía de Seguros) de los datos de salud de las denunciantes que con su consentimiento habían sido recabados por Gabinete Médico y que ya eran conocidos por la aseguradora, hemos de concluir de este modo no nos encontramos ante un acto de cesión a un tercero distinto del afectado o interesado en el sentido al que se refiere la Ley de Protección de Datos.”. La diferencia estriba en que parte de lo comunicado a la Mutua, la referencia y contraste con el análisis previo no era conocida por esta. 6) “Posibilidad de ser participe en un fraude a la Seguridad Social” si un paciente por Mutua, a causa de un accidente “es derivado a uno de los Centros del AFFIDEA España, para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/37 realización de estudio y emisión de diagnóstico, es imprescindible recoger en el informe los estudios previos ya que resultan determinantes de si la lesión del paciente ha sido originada por accidente o ya la padecía con carácter previo. Por ejemplo, si un paciente tiene una lesión degenerativa discal y sufre un accidente de tráfico, la única forma objetiva de saber si dicho accidente ha empeorado su situación es mediante la comparación con estudios previos para ver nuevos desplazamientos discales o agravamiento de lesiones previas” El artículo 7 de la Ley Orgánica 7/2012 de 27/12 por la que se modifica la Ley Orgánica 10/95 de 23/11, del Código Penal, en materia de transparencia y lucha contra el fraude fiscal y la Seguridad Social, introduce un nuevo artículo 307 ter la siguiente redacción: “Quien obtenga, para sí o para otro, el disfrute de prestaciones del Sistema de la Seguridad Social, la prolongación indebida del mismo, o facilite a otros su obtención, por medio del error provocado mediante la simulación o tergiversación de hechos, o la ocultación consciente de hechos de los que tenía el deber de informar, causando con ello un perjuicio a la Administración Pública, será castigado con la pena de seis meses a tres años de prisión.” En el caso analizado, si grupo AFFIDEA, “en el informe derivado de la resonancia solicitada por la Mutua de la empresa el día 27/08/2019 por un accidente en el centro de trabajo, oculta los antecedentes ya existentes en la misma rodilla y detectados por la resonancia practicada el 2/08/2019 en un mismo Centro del mismo Grupo y la doctora de la Mutua considera el accidente en el centro de trabajo como laboral, porque no ha podido tener conocimiento de la existencia de la resonancia magnética anterior, realizada en la misma parte del mismo miembro, grupo AFFIDEA estaría incurriendo en fraude contra la Seguridad Social.” Posible incumplimiento contractual con la MUTUA FREMAP. En los propios contratos firmados entre el reclamado y FREMAP, el centro adquiere el compromiso de cumplimiento de toda la normativa que pudiera aplicarse en materias tales como prevención de actividades delictivas. 7)“El informe remitido a la Mutua por la reclamada, se limita a trasladar la conclusión relativa sobre la dolencia para poner en conocimiento de la Mutua la valoración más objetiva del estado de salud del trabajador en lo que contenga datos de salud adicionales de los que motivaron su consulta: “Sin cambios respecto al estudio previo”, “mejora significativa del esguince del colateral interno en el momento actual” o “sin cambios inflamatorios agudos”. 8) Posible responsabilidad civil derivada del incumplimiento de la “lex artis”, según diversas sentencias. La “lex artis” obliga al profesional sanitario, entendiéndose como aquel criterio valorativo de la corrección del concreto acto médico ejecutado por el profesional de la medicina que tiene en cuenta las especiales características de ese autor, de la profesión, de la complejidad y trascendencia vital del paciente, tratándose en este caso no de una obligación de resultados sino de medios, la de suministrar todos los cuidados necesarios en consonancia con el estado de la ciencia y de la “lex artis ad hoc”. En este sentido, “el profesional médico ha de aplicar todos los medios que estén a su alcance, es decir no cabe eludir los conocimientos derivados de existencias previas ya que no estaría utilizando todos los medios que se encuentran a su alcance.” 9) Consideran que la inclusión de antecedentes ya existentes en la misma rodilla derecha del paciente detectados por la resonancia practicada el 2/08 en un centro del mismo grupo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/37 como en el informe de la resonancia del 27/08/2019, no trae causa de un tratamiento no autorizado o ilícito, pérdida destrucción o daño accidental provocado por la falta de aplicación de medidas técnicas u organizativas apropiadas por parte del reclamado, sino que es fruto de una buena praxis médica. Entre otros aspectos del cumplimiento de la normativa que refiere, manifiesta que su Grupo se viene sometiendo a auditorías externas de cumplimiento normativo en materia de Protección de Datos cada dos años, siendo el último informe de febrero 2020 y tiene como área de alcance las medidas de seguridad vigentes consiguiendo una puntuación de 4,7 puntos de 5 aportando algunos datos extraídos de dicho informe en documento núm. 5. SEXTO: Con fecha 18/01/2021, se inicia el periodo de practica de pruebas, dando por reproducidos a tales efectos la reclamación y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, las alegaciones y la documentación contra el acuerdo de inicio. Además, se solicitó:
8. a)Copia de la información del tratamiento de datos que se le entregó al reclamante en la primera asistencia médica producida a través de la aseguradora ADESLAS, en la prueba de 2/08/2019, atendido en CENTRO MÉDICO DE DIAGNÓSTICO CAMPO GRANDE S.L., perteneciente al GRUPO AFFIDEA. Se recibe escrito con posterioridad a la emisión de la propuesta, en fecha 19/02/2021, alegaciones a la misma, indicando que no se recibió el contenido integro de la petición de pruebas, solo la parte del literal “dando por reproducidos a tales efectos la reclamación y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, las alegaciones y la documentación contra el acuerdo de inicio”, motivo por el que no pudo contestar a las mismas. Efectivamente, se verifica que la plantilla que por defecto sale como escrito no se completó con el añadido de las pruebas al destinatario, ni se verificó su contenido, razón por la cual el escrito recibido por el reclamado contenía solo la parte que cita. Aporta en fichero pdf denominado DOCUMENTO 4 que es el mismo modelo estándar de “cláusula de Protección de Datos” AFFIDEA, “cumplimentado y firmado por el reclamante en la asistencia de 27/08/2019 que ya se aportó en alegaciones. Aporta en fichero pdf denominado DOCUMENTO 5, el mismo modelo estándar de “cláusula de Protección de Datos” AFFIDEA, si bien figurando la pegatina de referencia ADESLAS, AFFIDEA CAMPO GRANDE, 27/04/2019. El literal informativo marcado con el “consiento la cesión de los datos a mi médico prescriptor y/o mi cobertura de salud y he sido informado de que en caso de oposición, la prestación del servicio será a mi cargo como paciente particular”.
9. b)Copia que recoja las condiciones del contrato suscrito por CENTRO MÉDICO DE DIAGNÓSTICO CAMPO GRANDE S.L., perteneciente al GRUPO AFFIDEA y relacionadas con el tratamiento de datos de los pacientes atendidos a través de la aseguradora ADESLAS, por la que fue atendido el reclamante en la prueba de 2/08/219. Señala que no existe tal contrato ni obligación de firmarlo. Se atiene a la interpretación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/37 AEPD de que la transmisión de datos a los Centros de una compañía de seguros sanitarios es considerada una cesión de datos, convirtiendo al Centro sanitario en responsable del tratamiento, por lo que no estima necesario la suscripción de contrato que regule acceso a los datos.
10. c)Copia del contrato suscrito con FREMAP que contenga las condiciones del tratamiento de datos personales de los pacientes atendidos a través de CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A, (aportaron solo el contrato de adjudicación del servicio de diagnóstico a favor del CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A.) Señala que concurre con el mismo argumento del punto anterior, la condición por el Centro sanitario de responsable del tratamiento
11. d)Aportaron sobre el proceso de asistencia en el CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A. el 27/08/2019, la “cláusula de protección de datos”, sobre la misma se solicita que informen: Las pegatinas de la derecha parte superior refieren la fecha de la resonancia efectuada el 27/08/209 en el proceso en el que se le atiende en colaboración con Mutua FREMAP. En relación con ello: - Motivo por el que si en el contrato de adjudicación del servicio que remiten en alegaciones suscrito con FREMAP figura como prestador del servicio el CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A., en la información de cláusula de protección de datos no figura esta entidad como responsable del tratamiento, indicando “AFFIDEA se compromete a respetar sus derechos…” Señala que el reclamado es el adjudicatario de la prestación del servicio, y a la vez tiene la obligación de conservar la historia clínica del paciente, siendo el responsable del tratamiento, y el que tiene la obligación de informar del tratamiento de los datos del paciente, como responsable de los mismos. -Deberá aportar el resto de información de protección de datos que se indica en el contenido “cláusula de Protección de Datos” “nuestro compromiso de Protección de Datos” “En nuestra política de privacidad podrá encontrar información relativa a los siguientes aspectos”: A identidad y datos del contacto del controlador de datos, C el objeto y fundamento legal para su tratamiento D fuentes de sus datos personales y E destinatarios de sus datos personales, indicando el modo en que es informado el paciente de estos extremos, y si se hubiera firmado por el paciente, remitan copia de los documentos. Este aspecto que no concretó figuraba en su página web. SÉPTIMO: Con fecha 2/02/2021 se accede a la web de AFFIDEA .es -Figura la pestaña “QUIENES SOMOS”. En “QUIENES SOMOS” figura el grupo sanitario AFFIDEA es una compañía líder en diagnóstico por imagen que incorpora la más avanzada tecnología en las técnicas de resonancia magnética, cobertura europea 16 países en Europa, 274 centros, 9400 profesionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/37 Nuestros centros en España: En la actualidad contamos con 40 centros de diagnóstico estando presente en siete comunidades autónomas Asturias, Castilla La Mancha, Castilla León, Cataluña, Madrid, Murcia y Comunidad Valenciana”. En la pestaña “CENTROS” figuran en Castilla y León, ***LOCALIDAD.1: CAMPO GRANDE, FELIPE II, PARACELSO, HOSPITAL SAGRADO CORAZÓN. Haciendo clic en cada uno de ellos, figuran las pruebas diagnósticas que se efectúan, así como la dirección. El reclamante se realiza el 2/08/2019 la primera resonancia de la rodilla derecha en CENTRO DE DIAGNÓSTICO CAMPO GRANDE S L. a través de su seguro privado ADESLAS, y el 27/08/2019, la segunda en otra clínica del grupo, el reclamado: CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A. en el HOSPITAL SAGRADO CORAZÓN a instancias de la Mutua FREMAP para evaluar si la lesión obedece a un accidente de trabajo. En la sección “CON QUIÉN TRABAJAMOS” figuran compañías. como ADESLAS, ASISA, Mutuas: FREMAP, MUTUA UNIVERSAL, MUTUA INTERCOMARCAL etcétera, por mencionar algunas También figuran entidades de la sanidad pública SACYL, Castilla y León, SALUD MADRID Comunidad Autónoma de Madrid, SERVICIO MURCIANO etcétera -Con la misma fecha, en AFFIDEA.es, sección “POLÍTICA DE PRIVACIDAD PARA LOS PACIENTES”, se obtiene su contenido incorporándose al procedimiento. Se indica que AFFIDEA es un proveedor de servicios médicos, identifica la sede social AFFIDEA ESPAÑA y de los detalles de contacto del Delegado de protección de datos en la cláusula 9. Se informa que:  Para un mejor diagnóstico médico gestionamos su historia clínica de manera única de forma que las diferentes entidades del GRUPO AFFIDEA ESPAÑA- ver reverso- pueden acceder a su historial clínico siempre con el fin de prestar un servicio médico más preciso.  Se contiene información sobre en las bases de legitimación para el tratamiento de datos personales, “datos que tratamos.” Se indica que al proporcionarle servicios médicos se crean datos sanitarios como proveedor de dichos servicios y que está obligado por ley a documentar los citados servicios. “Para obtener más información acerca de los datos que tratamos consultar el anexo de esta política de privacidad “.  En la sección “con quién compartimos sus datos” hay un apartado concreto denominado “con terceros independientes” en los que se informa que estos son los derivados de los que se establezcan de las obligaciones por ley, o cuando “así lo requiere un contrato del que usted forma parte, por ejemplo, su contrato de seguro médico”.  En el “anexo de política de privacidad” se indica “más información acerca de con quién compartimos sus datos”. Figura en tablas diferenciadas por destinatarios, folio 12, la de “terceros que actúan independientemente de AFFIDEA”, en la que se contienen relacionados entre sí: - “identidad de destinatario” distinguen a título de ejemplo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/37 “médico que ha prescrito la prueba”. “laboratorios clínicos” “hospitales públicos que le han derivado a nuestro centro”, “CIA aseguradora a la que usted pertenece”, o “sistema de la Seguridad Social española”. - “sector de la actividad” “seguro médico privado”, o “seguro de salud nacional”. - “tipo de actividad”, “confirmación de la cobertura de seguro”, o “almacenamiento de archivos médicos financiado SNS”. -En en el apartado “POLÍTICA DE PRIVACIDAD” que “rige la página web”, bajo la titularidad de AFFIDEA, sobre seguridad de datos personales y trasparencia, figura la denominación social de GRUPO AFFIDEA ESPAÑA, su domicilio social, su NIF y teléfono y la dirección de contacto del Delegado de Protección de Datos OCTAVO: Con fecha 8/02/2021, se emitió propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1, S.A., con CIF ***CIF.1, por una infracción del artículo 5.1.
12. f)del RGPD, conforme señala el artículo 83.5
13. a)del RGPD, una multa de 10.000 euros.” NOVENO: Frente a la propuesta, el 19/02/2021 se recibieron alegaciones. manifestando: 1) Si contestaron al traslado de la reclamación con copia de registro entrada en sede electrónica ***REGISTRO.1 de 22/11/2019, expte ***EXPEDIENTE.1 (doc. 1). Adjuntan la copia de la respuesta que manifiestan hicieron en fase de traslado. Se indica que no considera procedente la reclamación, no existe incidencia y no han tomado medida alguna. Manifiestan sobre el objeto de la reclamación, la inclusión de los estudios previos dentro de los hallazgos del informe emitido por el reclamado cuyo destinatario era la Mutua, las mismas consideraciones que efectuaron en el acuerdo de inicio. A saber, aportan documento 1 en el que figura la clausula de protección de datos firmada por el reclamante el 27/08/2019, consideración y consecuencias de que la historia clínica es única a nivel de todo el GRUPO AFFIDEA ESPAÑA, refieren el decálogo de buenas prácticas y en definitiva, el resto de los argumentos que ya figuran relatados como alegaciones al acuerdo de inicio. 2) Indica que se le ha privado de aportar las pruebas al emitir la propuesta, precisando que el escrito de la prueba que recibieron estaba incompleto pues solo contenía la parte de “dando por reproducidos a tales efectos la reclamación y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, las alegaciones y la documentación contra el acuerdo de inicio.” faltando el resto del literal. Se verifica que efectivamente no se remitió lo que se indicaba por no adjuntar en la plantilla el añadido especifico que se solicitaba. Contesta en alegaciones a propuesta a tales extremos que se contienen en el apartado previo de pruebas. Aporta archivo pdf DOCUMENTO 4 y DOCUMENTO 5 referido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/37 en pruebas, siendo ambos documentos el mismo tipo de escrito informativo utilizado para “clausula de protección de datos”. 3) En función de la finalidad y contenido de la historia clínica, el facultativo que atendió al paciente incorporó la información que se desprende tanto de la primera atención como en la segunda, reflejándolo en el informe de la segunda asistencia. Caso contrario no respondería a la veracidad del estado de salud, ya que “la lesión no se originó a consecuencia del accidente, padeciéndola con carácter previo, habiendo sido detectada por el médico en la asistencia del 2/08/2019. Al médico le corresponde decidir sobre el contenido de la historia clínica formando parte del mismo los informes de exploraciones complementarias.” “El objeto de la historia clínica es obtener la máxima integración posible de la documentación clínica de cada paciente, sin hacer distinción alguna entre la sanidad pública y privada”. En este caso, si el médico no utilizara la información que ya constaba en la historia clínica, no estaría manejando el mejor y más oportuno conocimiento del paciente lo que supondría un incumplimiento de la normativa. 4) Se ha evitado un fraude a la Seguridad Social gracias a la valoración de ambas pruebas de imagen. “Dicho fraude se hubiera producido para el caso que el profesional únicamente hubiese tenido acceso a la prueba solicitada de Fremap ya que en base a la misma no podría conocer que la lesión ya estaba previamente, por lo que se le hubiera otorgado la baja por accidente laboral remunerada a cargo del sistema de la Seguridad Social.” Por entender que no se puede acceder a la historia se estaría favoreciendo y permitiendo un ilícito penal consistente en un fraude a la Administración, es decir, se hubiera producido la ocultación consciente de hechos relacionados con la obtención de prestaciones de la Seguridad Social. “En este caso, no pude prevalecer el interés particular del paciente de que no se valoren las pruebas de imagen que le impedirían acceder de modo fraudulento a una prestación publica”, sino que considera que existe un interés general en evitar fraudes contra el sistema público que abona las prestaciones, siendo además el tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento (6.1.c y 6.1.e del RGPD). 5) El fin encomendado en la segunda visita médica por orden de la Mutua no era el reconocimiento de si la contingencia era o no profesional . Es el profesional de Fremap que solicita la realización de la prueba de imagen con el fin de ver el origen de la lesión por la que el denunciante se encuentra en situación de baja y la achaca un accidente laboral. Es este profesional quien a la vista de los informes clínicos que se le aportan emite la consideración de si estamos o no ante un accidente laboral. Por otro lado, está el profesional radiólogo, quien tiene que interpretar una prueba de imagen y sobre la base de la misma, emitir un diagnóstico sobre un cuadro. Para ello, el profesional tiene que utilizar la historia clínica que obre en su poder y, en especial aquellas pruebas de imagen que le puedan ayudar a interpretar el resultado de la prueba objeto del estudio. “En este caso, el profesional tiene una prueba de imagen de la misma lesión realizada previamente y sobre la base de ambas pruebas comprueba que el origen de la misma es degenerativo”. “En ningún caso el profesional” del reclamado “hace juicio clínico sobre si se está o no ante un accidente laboral”. 6) El paciente pretende que se haga un uso selectivo de la historia clínica para los casos que él decida con la afirmación que “en el caso de un riesgo inminente de que suceda algo fatal, la información de salud deba ser tenida en cuenta, pero no es éste el caso. No hay un riesgo inminente de fallecimiento.“ El interés selectivo consiste en que pretende beneficiarse en camuflar una lesión previa en una de origen laboral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/37 7) La inclusión de los antecedentes ya existentes en al misma rodilla derecha del paciente y detectados por la a practicada el 2/08/2019 en un Centro del mismo Grupo, en el informe de resonancia de 27/08/2019 no trae causa de un tratamiento no autorizado provocado por la falta de aplicación de medidas técnicas u organizativas apropiadas por parte del reclamado, sino resultante de una buena praxis medica, ajustada a la normativa. “De cara a valorar una patología y más cuando la misma se realiza mediante pruebas de imagen, es necesario analizarlas tanto de manera individual como en su conjunto, so pena de incurrir en un error de diagnóstico”, y que no es excusable cuando están al alcance y pueden tener repercusiones. 8) Aun considerando que se trata de una cesión, se encontraría legitimada de acuerdo con los artículos 9 y 6 del RGPD. Considera que en ambas asistencias al reclamante existe la excepción para el tratamiento de los datos, la primera basada en la prestación de asistencia sanitaria y diagnóstico médico, la segunda, “fruto del contrato de adjudicación del servicio de diagnóstico al reclamado, también en el articulo 9.2
14. h)como “gestión de los sistemas y servicios de asistencia sanitaria”. “En ambos casos la base de legitimación para el tratamiento es que es necesario para la ejecución de un contrato en el que el interesado es parte artículo 6.1
15. b)del RGPD”. 9) Error en la tipificación de la sanción que se propone. En el fundamento de Derecho V de la propuesta, se establece: “no se acredita que el reclamante hubiera otorgado el consentimiento para la cesión de los datos de la primera visita medica ni existe habilitación legal para ello. “ De modo que se imputa que la cesión de los datos no se adecuó a la normativa aplicable sobre la base de la ausencia de consentimiento informado para la cesión. Con posterioridad, en el fundamento de Derecho VI, se afirma: “Se acredita en este caso, que el reclamado, el 27/08/2019 accede a datos personales de una consulta previa del reclamante en régimen privado, cuando ejercitaba funciones de colaboración con la Mutua en la gestión de los sistemas y servicios de asistencia sanitaria y social para determinar por cuenta de la Mutua la contingencia. Tratamiento de datos que se materializa al introducir los términos de comparación médico de los datos en el informe que remite a la Mutua, y que no cuenta con base legitimadora o el consentimiento del afectado.” Nuevamente, se vuelve a decir que ha existido un acceso de datos personales de una consulta previa sin consentimiento alguno. En el siguiente fundamento de Derecho, el séptimo, se tipifica expresamente la infracción, que se contiene en el articulo 83.5 a del RGPD, “porque el reclamante no otorgó el consentimiento para la cesión de los datos de la primera visita médica ni existe habilitación legal para ello.”, por incumplimiento de los principios básicos establecidos en el RGPD, en concreto, porque el reclamante no otorgó el consentimiento para la cesión de los datos de la primera visita médica ni existe habilitación legal para ello. En consecuencia, de acuerdo con la interpretación del instructor, se ha producido un incumplimiento del artículo 6, en el que se regula la licitud del tratamiento, en concreto, de su apartado 1 letra a), en el que se establece como base de licitud para el tratamiento, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/37 consentimiento del interesado para uno o varios fines específicos. Dicho esto, no cabe tipificar la sanción como un incumplimiento del 5.1.
16. f)del RGPD, por haber tratado los datos como consecuencia de la falta de medidas que garanticen una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). HECHOS PROBADOS 1) AFFIDEA informa en su web: a. Es un grupo sanitario especializado en diagnóstico por imagen implantado en 16 países en Europa. En España cuenta con 40 centros repartidos en 7 comunidades autónomas. En ***LOCALIDAD.1 cuenta con tres centros: CAMPO GRANDE, FELIPE II PARACELSO, y HOSPITAL SAGRADO CORAZÓN. b. Presta servicios a distintas entidades, tanto a compañías privadas de salud, Servicios de Salud de las Comunidades Autónomas (Sanidad pública) y Mutuas. 2) El reclamante por propia iniciativa se realizó el 2/08/2019 una primera resonancia de la rodilla derecha en CENTRO DE DIAGNÓSTICO CAMPO GRANDE S.L. (perteneciente al grupo AFFIDEA ESPAÑA, ubicado en el Hospital del mismo nombre) a través de su seguro médico privado ADESLAS. El literal informativo de la clausula estándar de protección de datos figura marcado que “consiento la cesión de los datos a mi médico prescriptor y/o mi cobertura de salud y he sido informado de que en caso de oposición, la prestación del servicio será a mi cargo como paciente particular”. En la página web de AFFIDEA.es se informa en el apartado POLÍTICA DE PRIVACIDAD PARA LOS PACIENTES, que “Para un mejor diagnóstico médico gestionamos su historia clínica de manera única de forma que las diferentes entidades del grupo AFFIDEA España- ver reverso- pueden acceder a su historial clínico siempre con el fin de prestar un servicio médico más preciso. “En el apartado “datos que tratamos” se indica: “Al proporcionarle servicios médicos, creamos datos sanitarios acerca de usted. Como proveedor de servicios médicos, Affidea está obligado por ley a documentar minuciosamente estos servicios.” En la sección “con quien compartimos tus datos”, se indica: “Compartimos sus datos personales con terceros (receptores independientes) en los siguientes casos: Si estamos obligados por ley. Si lo requiere un contrato del que usted forma parte (por ejemplo, su contrato de seguro médico). En caso de oposición, la prestación del servicio será a su cargo como paciente particular. Con otros profesionales de la salud en caso de urgencia vital (p. ej. una emergencia). Solo compartiremos sus datos en la medida en que sea absolutamente necesario” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/37 3) Con fecha 27/08/2019, según el reclamante “por un accidente en el centro de trabajo” FREMAP, Mutua colaboradora de accidentes y enfermedad profesional colaboradora de la Seguridad Social para la empresa en la que presta servicios el reclamante, con el fin de valorar la determinación inicial del carácter profesional de la contingencia, encargó una prueba médica: “resonancia de rodilla derecha” “en el hospital Sagrado Corazón de ***LOCALIDAD.1”, al centro denominado CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 S.A.-reclamado- (que resulta pertenecer al grupo AFFIDEA ESPAÑA. En esta valoración médica que se efectúa por orden de la Mutua, el 27/08/2019, figura: archivo denominado ***ARCHIVO.2, en pdf, hoja de “información clínica”: “sospecha lesión menisco interno, “Estudio resonancia magnética rodilla derecha. En el apartado “hallazgos”, se refiere a “Comparo con estudio previo realizado el 2/08/2019” y: “Se observa una hiper intensidad de señal lineal en cuerno posterior del menisco interno en relación con una fisura sin cambios respecto al estudio previo” “Mejora significativa del esguince del colateral interno en el momento actual no se visualiza el ligamento está integro” “También se observa un discreto arrancamiento proximal del cruzado anterior, aunque sin cambios inflamatorios agudos, la rotura parcial es leve” “Ligamento cruzado posterior, colateral externo, tendón rotuliano y la porción visible del tendón del cuádriceps sin alteraciones significativas.” En el informe de 2/08/2019 se mencionan entre otros: - estado del menisco interno, cuerno anterior y posterior. cruzado posterior y anterior. Manifiesta el reclamante que como consecuencia:” la doctora que le atiende le dice que se dirija a su médico privado o a la Seguridad Social, ya que ellos no pueden considerar el accidente en el centro de trabajo como laboral, pues hay una resonancia magnética anterior realizada en la misma parte del mismo miembro.” 1) El reclamante considera que, en la prueba ordenada por FREMAP, el centro sanitario que le atendió recogió y le dio a la Mutua información con sus datos médicos “a una entidad de lo que yo he realizado a través de otra entidad privada.”, manifestando que es conocedor de que “cada empresa tiene una misma historia clínica en todos sus centros”. 2) En la prueba practicada el 27/08/2019, el reclamado entregó al reclamante un formulario estándar de CLAUSULA DE PROTECCION DE DATOS consistente en un documento firmado por el reclamante. En el literal figura: “Yo, abajo firmante, mediante la firma del presente documento reconozco que he recibido la política de privacidad y se me ha informado de cómo AFFIDEA procesará los datos personales con el fin de llevar a cabo el diagnóstico médico y/o la prestación de los servicios médi cos solicitados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/37 Está marcado en relación con el asunto: - “consiento la cesión de datos a mi médico prescriptor y/o mi cobertura de salud y he sido informado de que, en caso de oposición, la prestación del servicio será a mi cargo como paciente particular.” Antes de “su consentimiento de protección de datos” se le remite al apartado de “ política de privacidad” que aunque no lo indique, figura en su web:” para encontrar información relativa a los siguientes aspectos:” A identidad y datos de contacto del controlador de datos, B datos de contacto del director de Protección de Datos, C objeto y fundamento legal para su tratamiento, D fuentes de sus datos personales, E destinatarios de sus datos personales, F periodo en el que se almacenarán los datos personales, G derechos bajo las leyes de Protección de Datos, H transferencias internacionales de datos 3) En la página web de AFFIDEA.es se informa en el apartado POLÍTICA DE PRIVACIDAD PARA LOS PACIENTES, se contiene información sobre las bases de legitimación para el tratamiento de datos personales. “ 4) En el “anexo de política de privacidad” de la web se indica “más información acerca de con quién compartimos sus datos”. Figura en tablas diferenciadas por destinatarios, la de “terceros que actúan independientemente de AFFIDEA”, en la que se contienen relacionados entre sí: - “identidad de destinatario” distinguen a título de ejemplo: “médico que ha prescrito la prueba”. “laboratorios clínicos” “hospitales públicos que le han derivado a nuestro centro”, “CIA aseguradora a la que usted pertenece”, o “sistema de la Seguridad Social española”. - “sector de la actividad” “seguro médico privado”, o “seguro de salud nacional”. - “tipo de actividad”, “confirmación de la cobertura de seguro”, o “almacenamiento de archivos médicos financiado SNS”. 5) En en el apartado “POLÍTICA DE PRIVACIDAD” de la web, figura que “rige la página web”, bajo la titularidad de AFFIDEA, sobre seguridad de datos personales y transparencia, bajo la denominación social de GRUPO AFFIDEA ESPAÑA, su domicilio social, su NIF y teléfono y la dirección de contacto del Delegado de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/37 6) El reclamado aportó copia de contrato FREMAP Mutua colaboradora con la Seguridad Social y CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1 SAU, como adjudicataria del contrato referido a la contratación del servicio de diagnóstico por la imagen mediante resonancia magnética en ***LOCALIDAD.1 de 21/12/2018, “ Servicio que efectuará de acuerdo con la oferta que presentó y a lo establecido en los pliegos de cláusulas administrativas y de prescripciones técnicas”. “El servicio objeto de contratación será ejecutado por el personal del reclamado o en su caso empresas subcontratistas dependiendo a todos los efectos de la adjudicataria. El adjudicatario se obliga a dedicar todos los medios personales y materiales necesarios para llevar a buen término el objeto del servicio contratado en los términos fijados en los pliegos”. Nada se indica sobre datos de carácter personal médicos que se recogen por GRUPO AFFIDEA ESPAÑA y que el reclamado, perteneciente al GRUPO comunicó a la Mutua. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La LAP contiene, de acuerdo con su exposición de motivos, los derechos de los usuarios de los servicios sanitarios de salud en desarrollo de la regulación básica del Estado, a través de la Ley General de Salud 14/1986 de 25/04, que “declara que la organización sanitaria debe permitir garantizar la salud como derecho inalienable de la población mediante la estructura del Sistema Nacional de Salud, que debe asegurarse en condiciones de escrupuloso respeto a la intimidad personal y a la libertad individual del usuario, garantizando la confidencialidad de la información relacionada con los servicios sanitarios que se prestan y sin ningún tipo de discriminación.” “A partir de dichas premisas, la presente Ley completa las previsiones que la Ley General de Sanidad enunció como principios generales.” “Se manifiesta así una concepción comunitaria del derecho a la salud, en la que, junto al interés singular de cada individuo, como destinatario por excelencia de la información relativa a la salud, aparecen también otros agentes y bienes jurídicos referidos a la salud pública, que deben ser considerados, con la relevancia necesaria, en una sociedad democrática avanzada. En esta línea, el Consejo de Europa, en su Recomendación de 13/02/1997, relativa a la protección de los datos médicos, después de afirmar que deben recogerse y procesarse con el consentimiento del afectado, indica que la información puede restringirse si así lo dispone una Ley y constituye una medida necesaria por razones de interés general.” (exposición de motivos de la LAP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/37 En el ámbito de aplicación de la LAP, se indica, tiene por objeto, (art 1): “la regulación de los derechos y obligaciones de los pacientes, usuarios y profesionales, así como de los centros y servicios sanitarios, públicos y privados, en materia de autonomía del paciente y de información y documentación clínica.” Para ello, la exposición de motivos de la LAP indica del “sistema nacional de salud” entendido como organización sanitaria, para garantizar la salud como derecho inalienable de la población mediante su estructuración , y nuevamente: “que debe asegurarse en condiciones de escrupuloso respeto a la intimidad personal y a la libertad individual del usuario, garantizando la confidencialidad de la información relacionada con los servicios sanitarios que se prestan y sin ningún tipo de discriminación.” La LAP define que la historia clínica es: “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial” –art. 3. El artículo 14 de la LAP indica: “1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro. 2. Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información.” El art. 15.2 de la LAP fija el contenido mínimo de la historia clínica, si bien muchas leyes au tonómicas han aumentado este contenido mínimo. En Castilla y León es de aplicación el Decreto 101/2005 de 22/12, por el que se regula la historia clínica (Decreto CYL en lo sucesivo). El Decreto CYL en su Capítulo I: “Disposiciones Generales” establece también, en primer lugar, el objeto y ámbito de aplicación que se extenderá tanto al ámbito público como al privado define la historia clínica y determina su finalidad principal: la asistencial, sin olvidar otros usos. Se establece que será única por paciente en el ámbito del Sistema de Salud de Castilla y León, sea cual sea el nivel asistencial en el que se presta la asistencia sanitaria, y única en aquellos centros que no estén dentro del Sistema de Salud de Castilla y León. En su artículo 3 añade la definición: “
17. b)Historia clínica única: Todos los datos de los contactos asistenciales relacionados por un único número de identificación del paciente.
18. c)Contacto: Cada una de las demandas de asistencia sanitaria de un paciente que genera actuaciones clínicas.” La disposición adicional del DECRETO CYL: “informatización de la historia clínica” establece que “Con el objetivo de avanzar en la configuración de una historia clínica única por paciente en el ámbito del Sistema de Salud de Castilla y León, la Gerencia Regional de Salud realizará las actuaciones necesarias para informatizar la historia clínica y su acceso a toda la información clínica disponible, sin perjuicio de lo dispuesto en la Disposición Adicional Tercera de la Ley Básica Reguladora de la Autonomía del Paciente y de Derechos y ObligacioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/37 nes en Materia de Información y Documentación Clínica.” La mencionada Disposición adicional tercera de la LAP indica: Coordinación de las historias clínicas dispone: “El Ministerio de Sanidad y Consumo, en coordinación y con la colaboración de las Comunidades Autónomas competentes en la materia, promoverá, con la participación de todos los interesados, la implantación de un sistema de compatibilidad que, atendida la evolución y disponibilidad de los recursos técnicos, y la diversidad de sistemas y tipos de historias clínicas, posibilite su uso por los centros asistenciales de España que atiendan a un mismo paciente, en evitación de que los atendidos en diversos centros se sometan a exploraciones y procedimientos de innecesaria repetición.” El Decreto CYL añade en su artículo 5: “1.– En el ámbito del Sistema de Salud de Castilla y León, la historia clínica será única por paciente. En los centros, servicios y establecimientos sanitarios ajenos al Sistema de Salud de Castilla y León, la historia clínica será única por paciente en cada centro. 2.– La historia clínica deberá encontrarse unificada dentro de un mismo centro, servicio o establecimiento sanitario. Una historia clínica estará unificada cuando todos los documentos activos sustentados bajo un mismo soporte se encuentren archivados en un mismo contenedor.” El art. 15.1) 2) y .4) de la LAP señala: “1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente…” “4. La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo, para facilitar el mejor y más oportuno conocimiento por los facultativos de los datos de un determinado paciente en cada proceso asistencial.” Incide el protagonismo del paciente cuando señala el art. 17.4 de la LAP que la misma debe estar integrada unitariamente por todos los datos que los facultativos entiendan que son trascendentes para garantizar una labor asistencial adecuada al paciente. De esta forma, todo profesional que intervenga en la actividad asistencial está obligado al cumplimiento de los deberes de información y documentación clínica, siendo obligación y responsabilidad del profesional que interviene en la actividad asistencial “no sólo a la correcta prestación de sus técnicas, sino al cumplimiento de los deberes de información y de docuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/37 mentación clínica, y al respeto de las decisiones adoptadas libre y voluntariamente por el paciente.” art 2.6 LAP. Esta obligación de cumplimentar la actividad asistencial es también aplicable a los servicios sanitarios privados. Se deducen así que tanto a los de servicios de salud públicos, como de salud en régimen privado, los servicios asistenciales han de generar y custodiar las respectivas historias clínicas únicas por paciente y servicio, y se atenderá a la mención específica en las leyes sobre los sistemas de coordinación y colaboración en la gestión de la sanidad como derecho constitucional. III La LAP aplicable a centros sanitarios públicos y privados, y prevé que los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de la documentación clínica, establece una única historia clínica por paciente y al menos en cada centro, así como su contenido, fines, confidencialidad y acceso, relacionándolo siempre con el carácter instrumental de la asistencia. Solamente se menciona la materia de protección de datos, en el artículo 17.6, dedicado a la conservación de la documentación clínica como forma de referirse a las distintas partes, indicando: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.”, y el articulo 19 como derecho relacionado con la custodia de la historia que “El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley.” Los usos y finalidades se recogen en el artículo 16 de la misma LAP, del siguiente modo: "1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.” El artículo 13 del Decreto CYL, indica: “El personal sanitario que de modo directo esté implicado en el diagnóstico y tratamiento del paciente tendrá acceso pleno a la historia clínica”. “2.– El centro establecerá los mecanismos internos de solicitud de la historia clínica para facilitar su disponibilidad para la asistencia de los pacientes y, siempre que sea posible, establecerá niveles de acceso para las distintas categorías de personal sanitario y para el personal no sanitario, en virtud de las funciones que cada uno tenga encomendadas. 3.– Cuando un paciente esté recibiendo asistencia sanitaria en otro centro distinto de aquél en el que se generó la historia clínica, se deberá facilitar copia de ésta cuando sea soC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/37 licitada por el facultativo responsable de esa asistencia, siempre que cuente con la autorización expresa del paciente, salvo en una situación de urgencia en que éste no pueda prestarla en cuyo caso aquél deberá justificar la necesidad asistencial de uso de esa documentación. Estos mismos requisitos serán exigibles a los servicios sanitarios de las entidades colaboradoras en la gestión del Sistema de la Seguridad Social que pretendan acceder a la historia clínica del trabajador con fines asistenciales.” En cuanto al régimen y prestaciones de las Mutuas, se debe considerar que “las prestaciones y los servicios atribuidos a la gestión de las Mutuas colaboradoras con la Seguridad Social forman parte de la acción protectora del sistema y se dispensarán a favor de los trabajadores al servicio de los empresarios asociados y con el mismo alcance que dispensan las entidades gestoras en los supuestos atribuidos a las mismas” (art 82.1 del Real Decreto Legislativo 8/ 2015 de 30/10, por el que se aprueba el texto refundido de la Ley General de la Seguridad Social, LGSS). El último párrafo del artículo 82.2 de la LGSS determina que dichos servicios o prestación de las contingencias profesionales pueden ser dispensadas a través de “conciertos con medios privados” como figura en el contrato suscrito entre reclamado y FREMAP. El artículo 80.4 de la LGSS indica: “Las Mutuas colaboradoras con la Seguridad Social forman parte del sector público estatal de carácter administrativo, de conformidad con la naturaleza pública de sus funciones y de los recursos económicos que gestionan, sin perjuicio de la naturaleza privada de la entidad.” Se aplica a esta gestión el principio y fin de la seguridad social que se configura por los principios de universalidad, unidad, solidaridad e igualdad (art 2). En este caso, el reclamado actuaba como colaborador en la gestión de la Seguridad Social, y aunque tenia acceso a toda la historia clínica por pertenecer al mismo Grupo AFFIDEA, estando informando el paciente de dicha gestión única, no se le concretó el detalle informativo especifico ni se le requirió consentimiento para que los datos médicos contenidos en la primera asistencia se incorporasen al informe que tenia que realizar el 27/08/2019, cuando actuaba como servicio sanitario de la entidad Mutua FREMAP, colaboradora en la gestión. Si el reclamado no perteneciera al Grupo y no tuviera acceso a la historia previa, debería haber pedido autorización “expresa del paciente”, señala la norma. También, según se deduce, cuando la gestión la efectúe por cuenta colaboradora de la Seguridad Social, es decir, tal como actuó. Por otro lado, el principio de vinculación asistencial, los profesionales sanitarios no pueden acceder a cualquier historia, solamente por su condición de trabajadores del centro sanitario y que tengan relación asistencial con el paciente titular de la historia, como herramienta para prestar su servicio adecuadamente. Es conocido que el acceso a la historia clínica en supuestos contrarios, especialmente para usos particulares o para revelar su contenido puede dar lugar a responsabilidad penal. Este principio básico, se acompaña por el principio de proporcionalidad, que determina que el profesional deba acceder únicamente a los datos mínimos necesarios para prestar la asistencia sanitaria concreta. Se debe no perder de vista que el fin encomendado en la segunda visita médica por orden C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/37 de la Mutua, era el reconocimiento de si la contingencia era o no profesional, el carácter público de medio concertado del reclamado por el que se efectúa dicha valoración y que el artículo 23 de la Ley 16/2003, de 28/05, de Cohesión y Calidad del Sistema Nacional de Salud señala que: “Todos los usuarios del Sistema Nacional de Salud tendrán acceso a las prestaciones sanitarias reconocidas en esta Ley en condiciones de igualdad efectiva.” Esta igualdad de trato, parece que no se cumpliría si el centro diagnóstico que hace la prueba el 27/08/2019 fuera de otra compañía ajena al Grupo, o una única clínica, y no tuviera noticia de antecedentes previos, produciéndose una distinción de trato dependiendo del implante geográfico de la Compañía, su tamaño o importancia, a menos que se deba como dice la norma, requerir al paciente que informara si tenía antecedentes sobre la lesión y que autorizara la incorporación de los mismos con los efectos de una declaración de veracidad y certeza de los datos, considerando su responsabilidad en caso de no ser aportada. La consulta y constatación del hallazgo de la asistencia primera en el segundo informe para la Mutua no fue informada específicamente al afectado y constituye una extralimitación en el tratamiento llevado a cabo como se terminará de exponer en los siguientes párrafos, dando lugar a la perdida de confidencialidad de los datos del reclamante, Se pone de manifiesto que se trataría de una extralimitación del contenido comunicado a la Mutua a través de la información que se incorpora en el segundo informe, a través de emisión de juicios que comparan y resuelven aspectos específicos, contando con los datos personales y médicos de la primera asistencia, para la cual, en esta parte, debe cumplir el requisito de habilitación para el tratamiento de datos médicos previsto en el RGPD y en la LOPDGDD, junto con la normativa sectorial que como el Decreto CYL señala, debe obtenerse expresamente la autorización del afectado si es atendido en otro centro que no comparta la historia, un ejemplo sería entre dos centros privados, o cuando se atiende en un centro público respecto de la historia que custodia un centro privado. A través de la misma se pone en conocimiento de la Mutua datos médicos del paciente, reclamante, por el reclamado, obtenidos de su diagnóstico médico prestado y obtenido antes de que se ordenara por la citada Mutua analizar al paciente para comprobar su rodilla derecha. El reclamado compara el diagnóstico por imagen obtenido de la prueba hecha el citado día 27/08/2019 y eleva un informe a la Mutua comparativo con los datos de la anterior asistencia. Esta labor se encomienda a través de un contrato con el reclamado, como diagnóstico de imagen, y que casualmente, se deba pedir autorización al paciente o no, no parece que deba depender de que se produzca una potente implantación en un área geográfica del centro sanitario, o pertenezca a un Grupo amplio con historia clínica compartida, como es este caso, y en contra de lo que la normativa de la historia clínica predica según determina expresamente el citado Decreto CYL. En este caso, la empresa del Grupo, resultó ser un centro de diagnóstico relacionado con el que le efectuara la primera prueba. Ambos centros de diagnóstico pertenecen al mismo Grupo empresarial, que dispone de un historial clínico único a nivel de Grupo de empresas, en los cuarenta centros diagnósticos que existen en España, según su publicidad. Cualquier Mutua que contrate la gestión sanitaria con un centro diagnóstico de imagen va a tener además del valor del acto médico, la posibilidad de que se verifiquen antecedentes importantes para contrastar si las dolencias son o no accidente, con una mera referencia a que la historia clínica es única y se presta en beneficio del paciente, para un correcto diagnóstico, ignorando la autorización que prevé la normativa y expresamente cuando se alude a que el régimen de la atención se efectúa por colaboración del sistema publico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/37 Mencionar también, por si puede añadir una nota distintiva, que, en el contrato con la Mutua, nada se indicaba del responsable de los datos de la historia clínica, que, en este caso, según los documentos e información de la web, son responsabilidad de AFFIDEA ESPAÑA, y son los que se vierten en los contrastes diagnósticos, a pesar de que la asistencia facultativa prestada y la cumplimentación se efectúan por quien alimenta los procesos, esto es, por los facultativos del reclamado, que son los que deciden sin autorización del paciente comparar los hallazgos y comunicar a la Mutua sus conclusiones. IV Los «datos relativos a la salud» se definen en el RGPD como: “los datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud” El artículo 4 del RGPD define: 2)«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; A diferencia del régimen establecido de responsables de los datos personales que se contiene en el RGPD, en las historias clínicas, la LAP y el Decreto CYL menciona responsabilidades de los centros sanitarios, médicos o asistenciales, servicios de salud o a los facultativos, en cuestiones y a los efectos de responsabilidades de cumplimiento de los derechos allí establecidos, sobre la información y la historia clínica, respecto a quien corresponde su cumplimentación, su acceso, su custodia, si bien en términos de sujetos jurídicos difusos al indicar: “ La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo”. Lo que quepa entender por institución asistencial o centro, debe concretarse a efectos del manejo de protección de datos, que define al responsable del tratamiento, una descripción que poco tiene que ver con el centro o la institución. 9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/37 10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; El artículo 4, punto 9, define «destinatario» y precisa que un destinatario al que se comunican datos personales no tiene por qué ser un tercero. Por consiguiente, un destinatario puede ser un responsable del tratamiento, un corresponsable o un encargado. El artículo 6.1 del RGPD sobre la licitud del tratamiento prevé al menos que se ha de dar una de las condiciones que enumera en sus letras
19. a)hasta la f), a las que califica como bases de tratamiento, refiriéndose en otros apartados a base o fundamento jurídico, o base jurídica del tratamiento, siendo usual que se indique que el tratamiento se basa en alguna de las bases contenidas en el 6.1. En el artículo 9 del RGPD, se indica: “Tratamiento de categorías especiales de datos personales” “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
20. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
21. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
22. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/37 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud. Señala la LOPDGDD: -artículo 9.2 “2. Los tratamientos de datos contemplados en las letras g),
23. h)e
24. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” -Disposición adicional decimoséptima. Tratamientos de datos de salud “1. Se encuentran amparados en las letras g), h),
25. i)y
26. j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo:
27. a)La Ley 14/1986, de 25 de abril, General de Sanidad.
28. c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
29. d)La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.
30. e)La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias.
31. g)La Ley 33/2011, de 4 de octubre, General de Salud Pública.” V Sobre la posición jurídica a efectos del RGPD del reclamado, al efectuar las pruebas ordenadas por la Mutua, y en concreto sobre la posibilidad de acceso a historias clínicas de pacientes, versa un informe que esta Agencia emitió a través de su Gabinete Jurídico, sobre una consulta, la 409/2009 de 5/08/2019, del Servicio de Salud de las Islas Baleares, que se puede consultar en la web de la AEPD. La consulta era sobre “la comunicación a los centros sanitarios privados objeto de concierto con la Administración consultante de los datos contenidos en las historias clínicas de los pacientes que acudieran a aquéllos, a fin de lograr una mejor asistencia sanitaria, partiendo de que dichos centros privados no forman parte del Sistema Nacional de Salud, pero se encuentran vinculados al mismo a través del contrato suscrito con aquéllos.”. Esto conllevaría, por ejemplo, la posibilidad de que estas entidades acC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/37 cedieran a las historias clínicas custodiadas y responsabilidad del sistema de salud público, ya que van a prestar asistencia a personas protegidas por el citado sistema. Analiza en primer lugar la posición jurídica en materia de protección de datos de dichos centros sanitarios en relación con los pacientes que acuden a los mismos, considerándolos responsables del tratamiento, al elaborar ellos mismos las historias clínicas de los pacientes que atienden, según obligación que ordena la LAP, y que no se limitan a tratar datos por encargo por cuenta del contratante. En cuanto al tratamiento de datos, estos son necesarios para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto y ello “habilitaría el acceso o la comunicación a los centros sanitarios, con independencia de su naturaleza pública o privada de los datos necesarios para llevar a cabo la adecuada asistencia sanitaria de los pacientes que acudieran a los mismos”. Es decir, se admite que estos centros que conciertan la prestación de servicios de salud pública, Aun no formando parte integrante del sistema Nacional de Salud puedan acceder a la información de los pacientes a los que les va a prestar asistencia, pues pueden desarrollar acciones asistenciales directamente vinculadas con el sistema público, pudiendo incluso entenderse que las mismas constituyen, en cuanto sea objeto de concierto, servicios propios del mencionado sistema. Se añadía que “ el párrafo primero del artículo 58 de la Ley 16/2003, de 28/05 de cohesión y calidad del Sistema Nacional de Salud, dispone que “con el fin de que los ciudadanos reciban la mejor atención sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados con las Comunidades Autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el acceso a la historia clínica en los términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione”. Si bien se consigna en la respuesta que la consultante plantea el problema de que los centros concertados no forman parte integrante del Sistema Nacional de Salud, aun cuando se vinculen con el mismo, se indica: “Efectivamente, el artículo 44 de la Ley 14/1986, de 25/04, General de Sanidad señala que “todas las estructuras y servicios públicos al servicio de la salud integrarán el Sistema Nacional de Salud”, añadiendo que “el Sistema Nacional de Salud es el conjunto de los Servicios de Salud de la Administración del Estado y de los Servicios de Salud de las Comunidades Autónomas en los términos establecidos en la presente Ley”. Asimismo, el artículo 45 establece que: “el Sistema Nacional de Salud integra todas las funciones y prestaciones sanitarias que, de acuerdo con lo previsto en la presente Ley, son responsabilidad de los poderes públicos para el debido cumplimiento del derecho a la protección de la salud” y el artículo 90 habilita la celebración de conciertos con entidades sanitarias para la prestación de servicios, añadiendo el artículo 93 que “no podrán ser vinculados los hospitales y establecimientos del sector privado en el Sistema Nacional de Salud, ni se podrán establecer conciertos con centros sanitarios privados, cuando en alguno C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/37 de sus propietarios o en alguno de sus trabajadores concurran las circunstancias que sobre incompatibilidades del sector público y el privado establezca la legislación sobre incompatibilidades del personal al servicio de las Administraciones Públicas”. En consecuencia, aun no formando parte integrante del sistema Nacional de Salud, los centros concertados desarrollan acciones asistenciales directamente vinculadas con el sistema, pudiendo incluso entenderse que las mismas constituyen, en cuanto sea objeto de concierto, servicios propios del mencionado Sistema. Esta consideración, unida a la finalidad asistencial que justifica el acceso a los datos de la historia clínica del paciente que vaya a ser objeto de atención sanitaria para garantizar la mejor calidad de la misma y, en definitiva su derecho a la salud, consagrado por el artículo 43 de la Constitución, unida a las disposiciones que se han venido analizando con anterioridad, permite considerar que la cesión de los datos a los facultativos que hayan de atender al paciente en los centros concertados, mediante el acceso a la historia clínica que obre en el Servicio de Salud autonómico, es conforme a la Ley Orgánica 15/1999, sin que sea necesaria la adopción de ninguna disposición adicional para permitir dicha cesión.” VI En principio rige la prohibición de tratamiento de datos de carácter personal referentes a la salud, por lo que las excepciones deben interpretarse de manera restrictiva, de modo que no puedan incluirse en dicha excepción, otros casos distintos, pues esto desvirtuaría la finalidad de la ley y las garantías establecidas La historia clínica se halla descentralizada a nivel de Grupo de empresa, lo que significa en la práctica que, si el paciente acude a cualquiera de los cuarenta centros del grupo AFFIDEA, en España, el médico que le presta asistencia puede acceder, consultar y efectuar una mejor y más completa atención en el tratamiento que se le presta, si bien ha de limitarse a la finalidad que origina la petición del informe, y la posición jurídica que ocupa como contratante con la Mutua, considerando el cumplimiento de la normativa sectorial que refiere la disposición de historias clínicas cuando no proceden del mismo sector al que se presta servicios, en este caso por cuenta de la Mutua colaboradora en la gestión de la Seguridad Social En este caso, la Mutua era un destinatario de datos que ordenó un reconocimiento al reclamante en orden a una finalidad diagnostica de modo que se le han de comunicar por el reclamado un informe valoración sobre la prueba practicada en la rodilla derecha, a fin de que la Mutua determine la contingencia causante del accidente sufrido por el reclamante, con la prueba que se le hace el 27/08/2019. Como regla general y strictu sensu, sin mas detalles que comentar inicialmente, se ajusta al supuesto del artículo 9.2.
32. h)del RGPD “ servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3” Pero en este caso, además, sin ignorar que existe base legitimadora, se analiza que atendiendo el reclamado en régimen asistencial contratado a nivel de colaborar con el régimen publico de la Seguridad Social, se incorporan sin autorización del afectado, tal como determina como necesario el Decreto CYL, parte de unos hallazgos de un episodio asistencial previo, para comunicarlo a la Mutua, que es lo que se considera infringe el deber de confidencialidad, extralimitándose de los datos que sin autorización del afectado son comunicados, para producirle en el régimen publico una denegación de prestación como accidente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/37 considerando datos no solo que pertenecen al régimen privado, y eso es lo menos importante, sino por el hecho de que este exceso al incorporar una información previa sin autorizarse y sin conocerse ciertamente, por parecer que no es esperable la comunicación entre regímenes, puede exceder del esquema para el que se halle la legitimación, al no adecuarse en esta extralimitación a lo que se considera estrictamente el excede de los servicios de asistencia sanitaria y social cuando acude a pruebas precedentes a la fecha de suceder el presunto accidente cuya habilitación de tratamiento eran la razón de tratamiento y diagnóstico de la rodilla, y no se obtiene autorización documental del afectado para el traslado de la información de la historia clínica del anterior episodio, situación de tratamiento de datos no esperable en una prueba en el ámbito del sistema público, y considerando que los datos a que se acceden no forma parte del citado sistema público, considerando ese exceso como infracción del deber de confidencialidad Como tal, se debió haber limitado su contenido, no haber comparado los datos con la primera historia sin haber solicitado la autorización informada del afectado, refiriendo los deberes de veracidad en la información a proporcionar , la finalidad de la prueba a efectuar, que tiene sus peculiaridades respecto a las que se puedan practicar motu proprio, observando que las cláusulas informativas de protección de datos usada por el reclamado son en todos los casos las mismas, sin diferenciar, debiendo haber recabado la autorización para el contraste de la historia originaria. Ello teniendo en cuenta que el reclamante no reclama por la cesión de sus datos a la MUTUA derivada del reconocimiento que esta ordena, de hecho, consintió en la casilla de ceder los resultados de esa consulta de 27/08/2019, en la cláusula informativa entregada, sino por un aspecto concreto que se limita a la comunicación de sus datos confidenciales de parte del contenido que relaciona o da a conocer datos de su visita previa a otra clínica del Grupo y que el médico refiere en el informe. Para las entidades aseguradoras de prestaciones sanitarias o de salud privadas, como la consulta a la que acudió el reclamante en fecha 2/08/2019, figurando la entidad CENTRO DE DIAGNÓSTICO CAMPO GRANDE SL, del grupo AFFIDEA, asistencia prestada a través de la aseguradora ADESLAS, tendría efectos de levantar la prohibición del tratamiento al someterse voluntariamente a recibir la atención sanitaria prevista en el artículo 9.2
33. h)“diagnóstico médico, prestación de asistencia” del RGPD. Esta prestación se obtuvo motu proprio y al haber suscrito previamente un contrato con la aseguradora privada. En el presente caso, no se trataba de una prestación ya reconocida por la Mutua como de accidente de trabajo, ni se estaba prestando asistencia sanitaria a su cargo, sino se basaba en el reconocimiento del estado de salud del empleado para determinar si era o no un accidente de trabajo, cuestión importante a determinar, dado que lo normal es que una base reguladora para prestaciones por esta causa suele ser superior a la de contingencias comunes en cualquier prestación. Sin poner en tela de juicio la necesidad y adecuación de que la prueba anterior completa la ordenada por la Mutua, mejorando en un acertado diagnóstico, lo cierto es que la primera se ejecutó por cuenta propia del reclamante bajo un régimen privado, lo que indica que aunque forme parte de un historial clínico único instrumentado o destinado a una asistencia adecuada, de calidad y corrección, el tratamiento de los datos de salud no solo cuando se practican las pruebas, sino cuando se ceden el contenido de esas pruebas, se debe contar con las excepciones del artículo 9.2 del RGPD. Aquí se están recogiendo y tratando datos exhaustivos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/37 de una sesión previa de tratamiento y diagnóstico para un informe destinado a valorar si las lesiones proceden o guardan relación con un accidente de trabajo (gestión de los sistemas y servicios de asistencia sanitaria y social). Ello, solamente esta parte del primer informe, que se contempla y se cede a la Mutua es el que se considera fuera del principio de confidencialidad, al no reunir el requerimiento de que se hubiera autorizado el uso de sus datos contenidos en el primer episodio asistencial de 2/08/2019, que podría ser un medio de salvar la excepción, al no concurrir sobre la parte que se extralimita la causa que podría servir como excepción para su tratamiento comunicado a la Mutua, llegando a producirse un resultado como es el que se imputa de infracción de la confidencialidad. En el presente caso, además, la condición en que se le presta el servicio a la Mutua a través del reclamado, en calidad de colaborador en la gestión de la Seguridad Social de la prestación de accidente de trabajo, no se trata de la prestación de asistencia sanitaria, sino dentro del mismo artículo, la de “ gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros”, aunque el reclamante esté obligado a presentarse a la prueba médica, lo es con el objeto de determinar si las lesiones o síntomas producidos el día 27/08/2019 en el centro de trabajo proceden o no de una contingencia profesional, no para prestarle una mejor asistencia médica. La Mutua, constituida por el conjunto de empresarios asociados, al conocer esa porción de datos previos con que contaba el reclamante resuelve no atender el accidente como de trabajo, sin que se contara con que el reclamante hubiera otorgado el consentimiento o autorización al reclamado para la comunicación de sus datos, que excederían del contenido propio por el que se atendió por cuenta de la Mutua, dando a conocer unos datos que se debían de haber mantenido en secreto por el reclamado. VII Como consecuencia, se imputa al reclamado una infracción del artículo 5.1.
34. f)del RGPD que indica: 1. Los datos personales serán:
35. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Obligación de la que trata el artículo 5 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), que precisa: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
36. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/37 cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” Se deduce que el responsable del tratamiento de los datos que forman parte de la historia clínica es el médico o el centro sanitario, público o privado; éstos tienen la obligación de elaborarla, custodiarla e implantar las medidas de seguridad necesarias para que no se extravíe, no se comunique a partes no interesadas o pueda accederse por terceros no autorizados. En este caso el centro sanitario, es el reclamado, que suscribió un contrato con la Mutua FREMAP, además, sin mención alguna a que forma parte de un GRUPO empresarial, ni relación alguna a la gestión de la historia clínica del paciente. La matriz en España, GRUPO AFFIDEA ESPAÑA es la que centraliza la historia clínica para que todos los centros de diagnóstico accedan a la historia única, y el reclamado así lo hizo. En cuanto a acceso y confidencialidad de la historia clínica, señala el artículo 2.7 LAP (principio básico) “7. La persona que elabore o tenga acceso a la información y la documentación clínica está obligada a guardar la reserva debida” Este último párrafo se menciona en la misma norma, articulo 7: “El derecho a la intimidad”. “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes.” De aquí se desprende que la regla general es la confidencialidad de toda la información obtenida por los médicos en aplicación de la LAP. Por tanto, se incluirían la no posibilidad de comunicar datos de atenciones asistenciales precedentes, tanto por ser prestadas en régimen privado como porque no se trataba en la segunda ocasión de tratamiento médico o asistencia al paciente, sino de colaboración para determinar si la contingencia obedecía a un accidente. Para conseguir eso, debería haber informado y haber obtenido la autorización de consulta de la historia clínica de 2/08/2029, dado que se trata de datos de salud. Dada la prohibición como regla general, y la subsidiaria excepción en el tratamiento de los datos de salud, el comunicado o contraste con la primera asistencia médica para la recogida de los datos motivado por la averiguación de relación de episodios, con el fin de determinación por la Mutua de la contingencia contaba con una parte que se ajustaba a estos fines, al comparecer al reconocimiento médico, pero al contrastar los datos con los antecedentes originarios infringe el deber de confidencialidad del tratamiento de dichos datos. A ello se ha de sumar la particularidad de la relación que se establece entre el profesional de la medicina y el paciente, basada firmemente en la confidencialidad y discreción y de los diversos datos relativos a aspectos íntimos de su persona que con ocasión de ella suelen facilitarse. Es cierto que los arts. 14 y siguientes de la LAP favorecen "la máxima integración posible de la documentación clínica de cada paciente" a fin de lograr una adecuada asistencia sanitaria, y de ahí el principio de unidad de la historia clínica. Esa integración de la historia clínica, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/37 tendente a evitar la dispersión de la información sanitaria sobre cada paciente, tiene como beneficiario al propio paciente. No se predica su carácter unitario para facilitar los diagnósticos pudiendo recoger todos los datos previos, de otros procesos, por ajustarse a una mejor prestación del servicio, al menos sin la autorización del afectado, ya que su finalidad no es en este caso esa. Cuando la LAP prevé la confidencialidad de los datos obtenidos en relación con los datos de salud, comunicándose unos datos precedentes a la prueba a la Mutua, asociación de empresarios agrupados para la gestión de la prestación de accidente de trabajo y con la finalidad de que se concluya sobre la causa productora de la lesión, están saliendo los datos del citado ámbito a un sujeto diferenciado, con propia personalidad jurídica y al que se considera que ni el RGPD ni la LOPDGDD ni la norma sectorial de LAP autoriza dicha comunicación, suponiendo una infracción de medidas de seguridad al permitir claramente con dicha acción la infracción de la confidencialidad de parte de los datos que se ceden a la Mutua, los de la primera valoración, al realizarse el 27/08/2019 la derivación por la Mutua para determinar si concurría o no en dicho acto la contingencia de accidente de trabajo. Si bien los arts. 14 y siguientes de la LAP favorecen "la máxima integración posible de la documentación clínica de cada paciente" a fin de lograr una adecuada asistencia sanitaria, pudiendo hablar del principio de unidad de la historia clínica, sin embargo, es preciso señalar que esa integración de la historia clínica, tendente a evitar la dispersión de la información sanitaria sobre cada paciente, tiene como beneficiario al propio paciente. El inciso inicial del art. 16 de la LAP lo ratifica, al señalar:” La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente." El inciso inicial del art. 16 de la Ley de Autonomía del Paciente es claro a este respecto: "La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente." Así, al reclamante se le informa en la segunda prueba que sus datos fruto de esa asistencia se van a ceder a la Mutua, lo que no significa que se traten de la asistencia y los datos y documentación clínica que se genera en la primera asistencia, que es lo que se hizo, sin que conste que el reclamante autorizara ni se le pidiera la autorización para la consulta de los datos previos. Este punto es de crucial importancia, porque la información sobre la salud de las personas forma parte del objeto protegido por el derecho fundamental a la intimidad, tal como ha aclarado, entre otras, la sentencia del Tribunal Constitucional 196/2004, de 15/11. No se considera que se haya producido un tratamiento que carezca de base legitima, pues esa no es la infracción imputada, sino que en el tratamiento llevado a cabo, la manera en que se ha producido, incorporando parte de la información y datos de un proceso médico previo, se ha ocasionado, al trasladarlo a la Mutua, por la ausencia de medidas de seguridad contempladas, un resultado de puesta en conocimiento de los datos del reclamante de una parte de su historia clínica de un episodio previo, utilizándose para la determinación de la contingencia causante, que pudo producir la no estimación de la misma como de accidente de trabajo. En cuanto a las medidas de seguridad, por los resultados producidos, se han de implementar niveles diferenciados para cuando el paciente acude a un médico o centro sanitario, privado o público, distinguiendo en el tratamiento de datos personales y de salud, las posibles bases legitimadoras, y las finalidades a que responde el tratamiento, así como a posición jurídica en que actúa el responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/37 Se acredita en este caso, que el reclamado, el 27/08/2019 accede a datos personales de una consulta previa del reclamante en régimen privado, cuando ejercitaba funciones de colaboración con la Mutua en la gestión de los sistemas y servicios de asistencia sanitaria y social para determinar por cuenta de la Mutua la contingencia. Vulneración de la confidencialidad que se materializa al introducir los términos de contrastes médicos de los datos en el informe que remite a la Mutua, y que excede de los datos que podía trasladar a la misma. VIII La jurisprudencia se ha pronunciado en algún caso sobre la puesta en conocimiento o cesión de datos de salud que indudablemente pueden servir a unos fines de diagnosticar certeramente unas lesiones o una aptitud para un puesto de trabajo, pero otros derechos en juego en algunas ocasiones prevalecen. En este caso se trataba de la revisión en casación de una sanción impuesta por la AEPD, anulando el Tribunal Supremo Sala de lo Contencioso-Administrativo, Sección 6ª) Sentencia de 20/10/2009, Recurso de Casación 4946/2007 la sentencia recurrida, y confirmando la sanción. Se trata de una sanción de la AEPD a Mutua FREMAP, ya que la misma Mutua había atendido un proceso de baja medica previo en otra empresa y el trabajador cambió de empresa. Durante el periodo de prueba le hicieron un reconocimiento médico, siendo la misma Mutua la encargada de hacer esos reconocimientos . El último día del periodo de prueba recibió “carta que le entregaron llevaba el logotipo de FREMAP y en ella se indicaba que "a la vista de los resultados, así como de las exploraciones complementarias realizadas se objetivan datos patológicos en relación con su puesto de trabajo en el momento actual, siendo considerado APTO CON LIMITACIONES". “D. Samuel denuncia a la entidad Fremap por haber incluido datos que habían sido recabados durante la revisión de su incapacidad temporal, con fecha 25 de agosto de 2003, cuando trabajaba para la entidad Tecnyconta, en un informe realizado el 12 de enero de 2004, como reconocimiento médico previo a su incorporación definitiva como trabajador a la entidad Vitrometal.”. La sentencia analiza la cesión de datos no consentida a la empresa que declara no apto al trabajador, respecto de los datos médicos obtenidos durante la permanencia del trabajador en la anterior empresa, derivado de un proceso de baja laboral IT de la que fue tratado el trabajador por la mutua. “Como consecuencia de ello, los repetidos datos médicos del Sr. Samuel pasaron a formar parte del historial médico o historia clínica en posesión de tal aseguradora.”. La sentencia señala como principio general que "las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad del trabajador y la confidencialidad de toda la información relacionada con su estado de salud" y que "los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador". “De aquí se desprende que la regla general es la confidencialidad de toda la información obtenida por las mutuas en aplicación de la Ley de Prevención de Riesgos Laborales y, por consiguiente, que la posibilidad de comunicar al empresario las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo" constituye una excepción. “En resumen, en esta materia rige incuestionablemente la máxima confidencialidad posible, sin que haya elemento alguno en la Ley de Prevención de Riesgos Laborales o en la Ley de Autonomía del Paciente que permitan afirmar que la comunicación de datos no consentida llevada a cabo por Fremap C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/37 estaba autorizada por una ley.” IX En cuanto a la integración o interoperabilidad de comunicación de la información contenida en la historia clínica, la Ley 16/2003, de 28/05, de Cohesión y Calidad del Sistema Nacional de Salud ha desarrollado así un conjunto de mecanismos de coordinación y cooperación en algunos ámbitos donde es especialmente precisa esta colaboración, entre los que destaca el establecimiento de sistemas de información que permita que esta información fluya dentro del Sistema Nacional de Salud, creándose órganos específicos como el Observatorio del Sistema Nacional de Salud –art. 1– o el Instituto de Información Sanitaria. El funcionamiento cohesionado del Sistema Nacional de Salud que permita la existencia de un servicio público sanitario de calidad y en condiciones de igualdad se basa en un sistema de información sanitaria que garantice la disponibilidad de la información y la comunicación recíprocas entre la Administración Sanitaria General del Estado y la de las Comunidades. El ejemplo sería el artículo 36 de la ley 16/2003 de 28/05 de Cohesión y Calidad del Sistema Nacional de Salud, según el cual: " Con el fin de que los ciudadanos reciben la mejor asistencia sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados por las Comunidades Autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el acceso a la historia clínica en términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione”. Se observa así, que los desarrollos de proyectos de intercambio de historia clínica digital del Sistema Nacional de salud van exclusivamente en la dirección del régimen público, derecho al que cualquier ciudadano tiene en cualquier punto del territorio nacional. No se conoce de momento potenciación de mecanismos en los que la asistencia sanitaria prestada en régimen privado pueda consultar y acceder o interoperar con ficheros de historias clínicas del Sistema Nacional de Salud para la prestación de la asistencia sanitaria, pues si fuera la finalidad esencial de la historia clínica dicha atención, no parece que debieran existir cortapisas o directamente dicho sistema estaría previsto. Usualmente para conseguir esos antecedentes, el médico lo solicita al paciente que será el que lo recabará de los servicios sanitarios. El Decreto de CYL también señala el mismo sentido al indicar en su artículo 13 que “ Cuando un paciente esté recibiendo asistencia sanitaria en otro centro distinto de aquél en el que se generó la historia clínica, se deberá facilitar copia de ésta cuando sea solicitada por el facultativo responsable de esa asistencia, siempre que cuente con la autorización expresa del paciente, salvo en una situación de urgencia en que éste no pueda prestarla en cuyo caso aquél deberá justificar la necesidad asistencial de uso de esa documentación. De ello se deriva que la cesión de datos se vincula al régimen en que se presta la asistencia sanitaria. El artículo 53. 6 de dicha ley indica “La cesión de los datos, incluidos aquellos de carácter personal necesarios para el sistema de información sanitaria, estará sujeta a la legislación en materia de protección de datos de carácter personal y a las condiciones acordadas en el Consejo Interterritorial del Sistema Nacional de Salud.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/37 Defender la posibilidad de divulgar parte de la historia clínica prestada en régimen privado, cuando se está prestando para la valoración de una prestación de régimen público, en este caso no considera la finalidad para la que se agrega la información, no tuvo en cuenta que parte de la historia para ser utilizada en referencia a la prueba ordenada por la mutua, y no extraer los datos en el régimen publico de asistencia, ser un episodio anterior, debió haberse informado de su consulta y obtener la autorización de la consulta.. Ello no significa que la historia clínica se deba disociar según el régimen privado o público por el título que se preste, sino que en la comunicación de esta se implementen las garantías e información al afectado para que decida y en su caso permita dicha comunicación, debidamente informado, con las consecuencias para el caso concreto por el régimen por el que se atiende. En cuanto a la alegación de que en supuestos de urgencia o de tratamiento médico es preciso ver todos los antecedentes médicos de la historia del afectado, se debe señalar que en este caso la finalidad del reconocimiento médico ordenado por la Mutua y de los datos que en el proceso se tratan, obedecen estrictamente a la determinación señalada, mientras que en supuestos en que si se diera efectivamente el conflicto de derechos planteado, se podría valorar como excepción al tratamiento el interés vital del afectado, pero se aprecia que no guarda relación con este caso Sobre la alegación de que no indicar el proceso previo del primer episodio podría contribuir a la consumación de un delito por favorecer con su silencio la percepción de una prestación, se significa que el tipo del articulo 307 ter del Código Penal, comprende: 1) obtención de prestaciones del sistema de la Seguridad Social indebidas; 2) prolongación indebida del disfrute de dichas prestaciones y 3) facilitación a otros de la obtención de prestaciones indebidas por medio del error provocado mediante la simulación o tergiversación de hechos o la ocultación de hechos verdaderos, causando un perjuicio a la Administración Pública. El correlacionar el primer diagnóstico como sucedió, sin duda favorece la toma de decisión de la determinación de la contingencia, pero estamos ante un derecho fundamental, y no consta artificio o engaño alguno por parte del reclamante, pudiendo efectuar la incorporación del primer análisis médico con la información y autorización adecuada para posibilitar su incorporación como contraste en la prueba realizada. Esta posibilidad de comunicación de datos no guarda relación con la evitación del fraude, como alude el reclamado que justificaría la intromisión en los datos íntimos de los pacientes con el acceso indiferenciado a los datos de salud. Se vulneraría la intimidad personal si la obtención de datos pertenecientes a la privacidad del trabajador descansase en una utilización extensiva de esas habilitaciones legales por razón de la finalidad encomendada, sustituyendo la finalidad de la norma hasta hacer impracticable el derecho fundamental afectado o ineficaz la garantía que la Constitución le otorga. Todo lo cual lleva a advertir de la necesidad de factores objetivos para conseguir la incorporación de previas pruebas asistenciales para la constatación en el diagnóstico a realizar, conforme señala el deber de confidencialidad y expresamente el artículo 13 del Decreto CYL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/37 X En cuanto al error de tipificación alegado, aparte de lo ya mencionado en puntos anteriores, no se imputa la infracción del tratamiento no licito, porque para los datos recabados en el reconocimiento relacionado con datos de salud por parte de la mutua puede existir base de legitimación, obsérvese que no se ha discutido sobre ello, sino mas bien en el resultado que al llevar a cabo el mismo se produce. El hecho no es que se necesite el consentimiento para el citado tratamiento, sino que en la parte de incorporación de contraste de la historia clínica de la primera prueba, se produjo una infracción de resultado consistente en poner en conocimiento de la misma Mutua una información de datos de salud para los que ni se tenia autorización debidamente informada del afectado sobre traslado o consulta del primer episodio de atención medica, y se comunican los datos, produciéndose la infracción del deber de confidencialidad. Ello se podría haber salvado, entre otros elementos con una debida información sobre permiso de acceso a la historia detallando la finalidad, consecuencias y obligaciones por el reclamante. La infracción se da, por la falta de diligencia establecida al considerar erróneamente que esos datos de esa parte de la historia clínica pueden ser comunicados sin más por el hecho de que la historia clínica sea única en el Grupo, o se contribuye a la mejor y más certera prestación del servicio contratado, obviando para ello la autorización informada del afectado. Finalmente, hay que indicar que la falta de respuesta en las pruebas no condicionó la propuesta ni afecta a la resolución , por cuanto en la respuesta no se aporta nada significativo que decante en uno u otro lado las consideraciones estimadas. En la web figura parte importante de la segunda capa informativa para los pacientes, sin que se explique claramente algún supuesto relacionado con lo acontecido en el presente supuesto. XI A dicha infracción se refiere el artículo 83.5.
37. a)del RGPD que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
38. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/37 siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
39. a)a
40. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
41. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
42. b)la intencionalidad o negligencia en la infracción;
43. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
44. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
45. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
46. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
47. g)las categorías de los datos de carácter personal afectados por la infracción;
48. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
49. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
50. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
51. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
52. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
53. a)El carácter continuado de la infracción.
54. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos perC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/37 sonales.
55. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
56. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
57. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
58. f)La afectación a los derechos de los menores.
59. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
60. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Para la valoración de la sanción que se implementaría en este acuerdo de inicio, se contemplan los siguientes factores: El reclamado es una entidad del sector sanitario en el que se tratan datos de salud (83.2.
61. g)y debe tener establecidos unos protocolos para que la información y datos del servicio asistencial prestado en régimen de seguro privado no se trasvase a las que se originen en el régimen público. Existe una relación cercana entre los datos de salud que se tratan y los datos de carácter personal, siendo una faceta diaria y ligada un elemento a otro. Como consecuencia con los elementos que se disponen, se impone la sanción en 10.000 euros Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1, S.A., con CIF ***CIF.1, por una infracción del aArtículo 5.1.
62. f)del RGPD, en relación con el artículo 5 de la LOPDGDD, de conformidad con el artículo 83.5
63. a)del RGPD, una multa de 10.000 euros SEGUNDO: NOTIFICAR la presente resolución a CENTRO DE DIAGNÓSTICO ***LOCALIDAD.1, S.A. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
64. b)de la ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/37 sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
65. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado ma