PS-00106-2022

1/22  Expediente N.º: PS/00106/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 6/04/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HOSPITAL POVISA, S.A. con NIF A36606788 (en adelante, reclamado). Los motivos en que basa la reclamación son que accedió a su historia clínica en el sistema de gestión electrónica de la historia clínica del Servicio Público Gallego de Salud (SERGAS), denominado ***SISTEMA, y ha encontrado que contiene datos de resultados de pruebas que se hizo a través del reclamado, clínica privada, y en régimen de seguro privado, que considera “no deberían figurar en dicha HC”, pues las hizo con el fin de “garantizar mi intimidad usando seguros privados”. Manifiesta que ejerció su derecho de acceso ante el reclamado el 20/10/2020 y se le dio respuesta el 18/11/2020, considerando que diversa documentación que integra esa respuesta coincide con la registrada en el sistema electrónico de gestión de historias clínicas ***SISTEMA, al que pueden acceder profesionales sanitarios del SERGAS. Aporta copia de la documentación proporcionada en el acceso fechado el 18/11/2020, compuesta por:

1. a)Parte en la que informa que como responsable del tratamiento de sus datos para su asistencia sanitaria, “sus datos administrativos han sido tratados con la finalidad de facturar los servicios prestados al pagador indicado por usted, su aseguradora”, le añade como otra categoría, los incluidos en su historia clínica entre los que se comprenden el número de historia clínica y los relativos a estado de salud. Le informa que “los datos relativos a sus prestaciones sanitarias privadas prestadas por HOSPITAL POVISA han sido comunicados al pagador indicado por usted, los datos relativos a sus prestaciones sanitarias públicas prestadas por HOSPITAL POVISA no han sido comunicados a ningún tercero distinto de los profesionales asistenciales de HOSPITAL POVISA necesarios para la prestación de una asistencia sanitaria de calidad”.
2. b)“Consentimiento personal informado” de 1/06/2016, mencionando la Ley 41/2002, reguladora de la autonomía del paciente y los derechos y obligaciones en materia de información (LAP), en el sentido de que proporciona sus datos a dicho centro para ser atendido, y que su datos se incorporan a un fichero automatizado de datos para uso interno de dicha entidad. Le informa del ejercicio de sus derechos, y de que “He sido informado de que se abrirá una historia clínica a su nombre, donde consta además de dichos datos, todo lo relativo a su salud, tratamiento y lesiones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 “Asimismo he sido informado de que Hospital Povisa en caso de que sea asistido con cargo a una entidad aseguradora, podrá facilitar descripción de las dolencias o lesiones que padece el paciente, así como informe puntual tanto de su evolución como del alta y secuelas en su caso”. En el apartado de “consiento de forma expresa” se indica, “en cumplimiento de lo dispuesto en la LOPD para que HOSPITAL POVISA pueda facilitar descripción de las dolencias y lesiones y demás datos sobre la salud del paciente a la entidad aseguradora responsable del abono de la asistencia prestada en HOSPITAL POVISA”, con la firma del paciente.
3. c)Documento de HP “historia clínica y evolución”, del reclamante, “cliente GENERALI ESPAÑA”, servicio de urología, de 4/04/2017. Acompaña reclamante copia impresa de pantalla consulta ***SISTEMA pantalla consulta HC 01-05, en el que en forma de árbol se pueden consultar en primaria, especializada, distintos centros sanitarios, figurando HP, y dentro “otros estudios e informes”, ”otros informes y pruebas”, se ve este de 4/04/2017, coincidente plenamente, que coinciden plenamente.
4. d)Documento de HP: “Copia de informe medico de urgencias del reclamante, “cliente GENERALI ESPAÑA”, de 19/09/2017. Acompaña reclamante copia impresa de pantalla consulta ***SISTEMA pantalla consulta HC 01-03, en el que en forma de árbol se pueden consultar en primaria, especializada, distintos centros sanitarios, figurando HP, y dentro “otros estudios e informes”, “laboratorio”, “otros informes y pruebas”, y se ve este de 19/09/2017, que coincide plenamente.
5. e)SMS de 17/10/2019, notificación de reconocimiento médico, según reclamante, de Kutxabank seguros con el encargado de tratamiento SERMESA, “donde me dan cita para reconocimiento médico el 25/10/2019, con motivo del seguro de vida de un préstamo hipotecario.” Documento de HOSPITAL POVISA (HP) de 25/10/2019, que contiene resultados de pruebas efectuadas, “servicio laboratorio”. Aporta copia de capturas de pantalla del acceso electrónico a ***SISTEMA, (se ve en la parte superior izquierda ese nombre) y se ve un árbol de directorio “Hospital POVISA” del que cuelgan distintas carpetas. Todos los análisis, de 25/10/2019, figuran bajo la rama de HP, otros estudios e informes, laboratorio. Coinciden los que se ven en ***SISTEMA con los que le proporciona el reclamado. SEGUNDO: La reclamación se resuelve con fecha 21/04/2021 en inadmisión a trámite, expediente E/04556/2021, frente a la que el reclamante interpone recurso de reposición que se estima el 12/05/2021. TERCERO: Con fecha 13/12/2021, “En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos, y en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el art. 67 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD)”, se solicita “a HOSPITAL POVISA, S.A.” la siguiente información relativa” al reclamante, ”como consecuencia de la comunicación de sus datos de salud al Servicio Gallego de Salud (SERGAS): 1. Acreditación de haber proporcionado al reclamante la información sobre protección de datos en relación al tratamiento de sus datos y aporte copia de la misma. 2. Acreditación de los medios utilizados para proporcionar la información del apartado anterior. Con fecha 27/12/2021, respondió, y según figura en el informe de actuaciones previas: “1. HOSPITAL POVISA S.A. mantiene suscrito un concierto con el SERGAS en virtud del cual se presta asistencia sanitaria a un núcleo poblacional de la provincia de Pontevedra. Que en cumplimiento de dicho concierto, el sistema de gestión de historias clínicas de POVISA, se comunica con el sistema de gestión de historias clínicas del SERGAS denominado ***SISTEMA. “La información relativa a la historia clínica del reclamante consta en la plataforma ***SISTEMA desde el mismo momento en que el paciente es atendido en el centro, accesible por parte del SERGAS, habida cuenta del sistema de la historia clínica electrónica única implantada en todos los centros de salud con concierto SERGAS y que, por parte de POVISA, no se han producido accesos indebidos a su historia clínica”. 2. “[…]La normativa exige a los Centros Sanitarios disponer de una única historia clínica por paciente, sin que se distinga en función del financiador de la asistencia sanitaria. De este modo, los profesionales de POVISA registran toda la actividad realizada a los usuarios que acuden al Hospital, tanto por SERGAS como por seguro privado. Los profesionales médicos del SERGAS pueden así consultar a través de la plataforma ***SISTEMA, titularidad de SERGAS, las historias clínicas del colectivo protegido por la Seguridad Social (historia médica electrónica).[…]” 3. En relación a la información sobre protección de datos facilitada al reclamante manifiesta: “a. Que en el año 2004, el reclamante recibe asistencia sanitaria por primera vez a través del servicio de urgencias del hospital, motivo por el cual es informado a través de los carteles informativos sobre Protección de Datos colocados en los mostradores. b. Que en el año 2016 el reclamante acude de nuevo al hospital recibiendo asistencia sanitaria general. Que en este momento se le facilita por parte de POVISA un documento informativo sobre el tratamiento de sus datos de carácter personal” Aporta copia ANEXO 5 que coincide con el aportado por el reclamante, hecho primero, 1.
6. b)c. “La ultima asistencia sanitaria al reclamante en el Hospital fue en septiembre 2017”, “el consentimiento firmado con anterioridad un año antes, seguía siendo valido” para cubrir la obligación del Hospital de informarle y recabar el consentimiento para el tratamiento de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 datos. Aportan como copia ANEXO 3, la respuesta al ejercicio de acceso del reclamante de 18/11/2020. 4.Añade que no hay registrado en el registro de accesos a la HC del reclamante, a través de la citada plataforma, ningún acceso por personal de POVISA, según verificación que han realizado desde la ultima asistencia que se le presta en este centro, más allá de los accesos que fueron necesarios para atender la petición de acceso a datos presentada por el interesado en el año 2020. El resto de los accesos se materializan a través de los usuarios correspondientes del SERGAS identificados como "acceso externo SERGAS desde ***SISTEMA'. A este respecto, se adjunta como Anexo número 1 copia del registro de accesos a la historia clínica del reclamante, obtenida desde la plataforma ***SISTEMA, CONSULTA ACCESOS A PACIENTE”, que comprende el periodo desde 23/12/2021 a 9/01/2012. El anexo por fechas, tiene el campo descripción de “acceso externo SERGAS desde ***SISTEMA”, en otras, figuran personas con nombre y apellidos, médicos, urgencias, o usuario estación de trabajo, en “programa”, unas veces figura ***SISTEMA PRO y otras otros identificativos. 5.El documento informativo acerca del tratamiento de datos personales y consentimiento informado del paciente fue adecuado en su momento, a raíz del RGPD y de la LOPDGDD. ”En los mostradores de admisión del Hospital existe un cartel informativo acerca del tratamiento de datos personales de los pacientes atendidos, actualizado en su momento”, también figura actualizada la web corporativa. CUARTO: Con fecha 15/03/2022, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a HOSPITAL POVISA, S.A., con NIF A36606788, por la presunta infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5.
7. b)del RGPD, y a efectos de prescripción en el artículo 72. 1
8. h)de la LOPDGDD.” […]” “A los efectos previstos en el art. 64.2
9. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 30.000 euros, sin perjuicio de lo que resulte de la instrucción.” QUINTO; Frente al acuerdo de inicio, con fecha 5/04/2022 se reciben las siguientes alegaciones: 1) -Considera la prueba de las copias impresas de pantallas que aporta el reclamante sobre la historia clínica electrónica del SERGAS, denominado ***SISTEMA, ilícita, por “haberse obtenido presumiblemente con conculcación de la legislación que regula el acceso y funcionamiento de ***SISTEMA, como la legislación que limita el acceso a la historia clínica sólo para los profesionales sanitarios pertenecientes al sistema de salud que competa en función del caso (en este supuesto, en el Sistema de Salud de Galicia)”. Considera esa información como la base que sostiene la imputación y pide que al vulnerar la ley no debería ser admitida, pidiendo también que se suspenda el procedimiento hasta que se conozca “el origen de dicha prueba”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 2) Reitera que HP viene obligado por Ley, a disponer de una HC única, con independencia que quien sea el financiador de la asistencia sanitaria recibida por los pacientes. HP forma parte del Sistema Sanitario de Galicia, al tratarse de un centro sanitario concertado con el SERGAS, en virtud de lo dispuesto en el artículo 4 de la Ley 7/2003, de 9/12, de Ordenación Sanitaria de Galicia. “La información de aquellos pacientes que sean únicamente pacientes privados del HP no está accesible a través de ***SISTEMA. La información asistencial de HP solo sería accesible cuando el paciente requiere asistencia sanitaria en el SERGAS y acude, indistintamente al HP o al SERGAS.” Por este motivo, debería ser el SERGAS cuando accede a la información asistencial del paciente en el HP, quien vendría obligado a informar al paciente en ese momento, conforme lo exigido por el artículo 14 del RGPD, lo que a su vez, podría excluir la obligación de informar para HP de acuerdo con el artículo 14.5
10. a), “por disponer ya de dicha información”. “HP como centro asistencial concertado, que forma parte del Sistema Sanitario de Galicia, tiene obligación legal de mantener una interoperabilidad con ***SISTEMA”. “Los sistemas de información de HP en los que se albergan y conservan las HC de los pacientes que son atendidos en el HP, con independencia del financiador del servicio, interactúan con ***SISTEMA para que en aquellos casos en los que un paciente acuda a un centro sanitario del SERGAS a recibir asistencia sanitaria, si se dispone de HC en HP, la misma pueda ser visualizada, con esa única finalidad asistencial, pero nunca puede ser modificada, ni la misma se vuelca, ni se descarga en ***SISTEMA. El Decreto 29/2009 de 5/02, de la Conselleria de Sanidad que regula el uso y acceso a la HC electrónica, señala entre otros aspectos, “que los centros concertados incorporarán a la Historia Clínica Electrónica toda la información y documentación generada por la asistencia clínica generada (art, 10). “El Hospital no comunica los datos a ***SISTEMA sino que la información resulta accesible por imperativo legal, pero “en ningún caso se realiza una acción por parte del HP en la que se cedan los datos al SERGAS”. “La información del paciente no estaría disponible, hasta que el paciente demandase asistencia sanitaria en el SERGAS, hecho no conocido ni controlable por HP.” “Por este motivo HP no consideró al SERGAS como destinatario de la información, porque la información nunca se transmite al SERGAS, y no depende ni de HP ni del propio SERGAS, que se acceda a la información del interesado, sino que es el hecho de que acuda a un centro sanitario del SERGAS a recibir asistencia sanitaria, momento en el que es informado en dicho centro”. 3) Considera que se le imputa una infracción tipificada como muy grave, cuando lo cierto es que considera que no se adecua ese literal de “omisión del deber de informar”, pues existe en el expediente acreditación de que sus datos se han tratado, y si se ha dado información, señala folios 13 y 88 en consentimiento informado y suscrito por el reclamante el 1/06/2016, siendo ese el modo de informar antes de la entrada en vigor del RGPD, habiendo adaptado medidas especificas para informar a los pacientes tras la entrada en vigor del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 4) HOSPITAL POVISA “nunca ha volcado ninguna información en los sistemas de información del SERGAS, sino que únicamente, en beneficio de sus pacientes, con una finalidad únicamente asistencial y obligado por la normativa sanitaria de aplicación, permitía la interconexión de sus sistemas de información, con la herramienta ***SISTEMA y, , únicamente se produce el acceso a la información asistencial, cuando el paciente acude a un Centro Sanitario Público del SERGAS. “ 5) A partir de 1/06/2018, se puso en marcha un nuevo consentimiento informado sobre el tratamiento de los datos personales de los pacientes, adaptado al RGPD, que se “comenzó a entregar a pacientes nuevos”, con la siguiente información: “El objeto de la información que se facilita a los pacientes no es otra que informarles que su HC podría estar disponible para los facultativos del SERGAS.” Aporta documento uno: “consentimiento personal informado en cumplimiento de la ley 41/2002 reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información clínica y del Reglamento General de Protección de Datos”. También se informa que “cuando sea estrictamente necesario los datos podrán ser comunicados de acuerdo con lo dispuesto en la legislación vigente a la autoridad sanitaria y demás organismos públicos con competencia en la materia así como las compañías aseguradoras u otras entidades pagadoras cuando nos indique que los gastos asistenciales deban ser satisfechos por los mismos pudiendo facilitar la descripción de las dolencias o lesiones que padezco así como informe puntual tanto de su evolución como de la alta y secuelas en su caso” En base legitimadora figura: “la prestación de asistencia sanitaria y el cumplimiento de obligaciones legales con independencia de quien resulte ser el pagador del mismo manteniéndose los datos personales tratados durante el período de tiempo que exige la normativa aplicable procediéndose posteriormente a la supresión. Para garantizar la existencia de la historia clínica única por Centro y cumplir con la legalidad vigente y toda vez que HOSPITAL POVISA es centro concertado, para la prestación de asistencia sanitaria pública, resulta imprescindible que los datos de mi historia clínica estén accesibles por los facultativos del SERVICIO GALLEGO DE SALUD, garantizando una mayor seguridad y evitando duplicidad de pruebas, administración de medicamentos y errores derivados de la falta de información asistencial.” 6) Con fecha 13/06/2018, se acordó, “habida cuenta de las circunstancias y el contexto específico en el que se tratan los datos personales dados los variados modos de informar, reformar la información a disposición de los pacientes, procediendo a” colocar en todos los lugares de atención a los pacientes, mostradores de recepción, salas de espera y Kioscos (son las máquinas en las que los pacientes descargan con su tarjeta sanitaria, la información sobre sus citas), una primera capa de información básica, facilitando la segunda capa de información en todos los mostradores de atención a los pacientes y en la página web del Hospital”. Aporta documento dos, una fotografía de un panel informativo, primera capa, colocado en las instalaciones del HP, en la que se lee: “información básica sobre Protección de Datos”, con los apartados de responsable, la finalidad, en destinatarios no se menciona al SERGAS, sino: “Se comunicarán datos a entidades pagadoras de los servicios sanitarios y las obligatorias legalmente”, y “derechos”, con una información adicional que remite a mostradores y la web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 La segunda capa se contiene dentro de documento 2, titulado “Política de Privacidad pacientes” en el que inicia indicando que la actualización es por el RGPD, en base jurídica: “prestación de asistencia sanitaria, con independencia de quien resulte ser el pagador del mismo, en el marco de una relación contractual o extracontractual (Art. 6.1 b RGPD), y la protección de un interés vital del paciente o de un tercero (art 6.1.d RGPD)”. También informa en términos similares que figura en el documento 1 mencionado en este ordinal: en concreto señala: “Por último, con la finalidad de garantizar la existencia de la historia clínica única por Centro y cumplir con la legalidad vigente y toda vez que HOSPITAL POVISA es centro concertado para la prestación de asistencia sanitaria pública, resulta imprescindible que los datos de la historia clínica estén accesibles por los facultativos del SERVICIO GALLEGO DE SALUD, garantizando una mayor seguridad y evitando duplicidad de pruebas, administración de medicamentos y errores derivados de la falta de información asistencial.” -Resulta aplicable lo dispuesto en el considerando 62, que“ exceptúa la obligación de proporcionar información cuando el interesado ya posea la información, cuando el registro o la comunicación de los datos personales estén expresamente establecidos por ley, o cuando facilitar la información al interesado resulte imposible o exija un esfuerzo desproporcionando” -En la fecha en la que el interesado recibió los servicios de HP, octubre de 2019, “la información de protección de datos ya se encontraba debidamente actualizada a las exigencias del RGPD” ”En los momentos anteriores (abril y septiembre de 2017), resultaba de aplicación el artículo 5 de la LOPD 15/1999 y no el artículo 13 del RGPD en cuyo caso se debería analizar una posible vulneración del artículo 5 de la LOPD 15/1999, ya que el RGPD no era aplicable a los tratamientos de los datos concernientes al interesado realizados en el año 2017.” 7) Además, debe diferenciarse de la infracción tipificada en el artículo 72. 1
11. h)de la LOPDGDD, de la tipificada leve en el artículo 74 de la LOPDGDD, que supone “no facilitar toda la información que exige los artículos 13 y 14 del RGPD”. Este aspecto fue analizado en la resolución PS 465/2021 (falta en el cartel informativo de videovigilancia una dirección efectiva donde ejercitar los derechos regulados legalmente) PS 239/2020 similar al anterior, y PS 237/2021( la página web ***URL.1 de la cual es titular el reclamado, porque no identifica de manera apropiada a su responsable ni los derechos que asisten a los usuarios ni de las vías a utilizar para su ejercicio). En el supuesto de que la AEPD mantenga la imputación, alega la prescripción de la infracción del artículo 13 del RGPD, referido al momento en el que se obtienen del interesado los datos y subsidiariamente se califique de leve al no darse omisión total. Al tratar los datos, última fecha, 25/10/2019, la infracción estaría prescrita. 8) Disconformidad con las agravantes para aplicar la posible sanción. La primera, respecto a la consideración como permanente de la infracción. Al describir la infracción continuada y sus elementos, la “sentencia núm. 3602/2020 del TS, sala de lo Contencioso administrativo” fundamento de derecho cuarto para considerar que no se dan en la imputada. A diferencia de la agravante de carácter continuado de la infracción, la de carácter permanente no se recoge de manera explícita como agravante en la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 protección de datos. El carácter de “infracción permanente en las que un único ilícito se mantiene durante un espacio prolongado de tiempo durante el que perdura la lesión del bien jurídico. Ahora bien, la identifican de tal forma a los únicos efectos del cómputo del plazo de prescripción de la infracción lo que, a nuestro juicio, no debe trasladarse también a los efectos de aplicación de la agravante”. Cita una sentencia de TS, sala tercera, de lo contencioso, de 16/03/2010, sobre la cesión de datos a un tercero, destacando el fragmento como ejemplo “… no hay una pluralidad de acciones, sino simplemente la puesta en conocimiento de un tercero del dato personal relativo al denunciante. Ello ocurrió en un momento determinado del tiempo. Ni siquiera puede decirse que esa puesta en conocimiento del dato personal fuera, en sí misma considerada, una acción prolongada durante un cierto período. Que esa acción pudiera tener consecuencias lesivas para el titular del dato personal en un momento posterior no la convierte, contrariamente a lo afirmado por la sentencia impugnada, en una infracción continuada/permanente. Si se acogiera esta tesis, muchas infracciones penales o administrativas serían continuadas/permanentes, ya que los efectos lesivos de una acción u omisión pueden hacerse sentir tiempo después del momento de la comisión”. No considera la conducta como de carácter permanente La segunda agravante del 83.2.
12. a)del RGPD, que considera que presumiblemente la falta de información se ha extendido a mas personas, sin haber desplegado ningún tipo de actividad probatoria que soporte esa afirmación y sin que haya sido el objeto especifico de la reclamación. 9) Añade ausencia de responsabilidad, por: -No cumplirse uno de los principios de la potestad sancionadora como es la existencia de dolo o culpa en la entidad imputada. No existe constancia de actuación intencionada, por cuanto no tiene interés en omitir esa información relativa al acceso a los datos por el SERGAS a través de la plataforma electrónica, toda vez que responde a una obligación legal exigida por la normativa sectorial. -No constan beneficios obtenidos en la comisión de la supuesta infracción. -No existe reincidencia. SEXTO: Con fecha 8/09/2022, se inicia un período de práctica de pruebas, dando por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por el recurso de reposición y su resolución, así como los generados obtenidos en actuaciones previas de investigación. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado y la documentación que a ellas acompaña, por guardar relación con esta reclamación. Además, se decide solicitar al reclamado: A) En el acceso solicitado por el reclamante, también figuraban unas pruebas que como laboratorio realizó HOSPITAL POVISA-HP- el 25/10/2019 al reclamante, que figuraban en el sistema de consulta de SERGAS-***SISTEMA. Respecto a ello, se le indica que informe por cuenta de quien actuaba en esas pruebas de laboratorio (acreditándolo mínimamente, si hay contrato y posición jurídica a efectos de protección de datos) donde se practicaron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 las analíticas y con que objeto, y literal informativo de recogida de datos que se proporcionó al reclamante. Con fecha 23/09/2022, se recibe escrito del reclamado respondiendo que “actuó en la posición de Responsable del Tratamiento, teniendo en consideración tanto la normativa aplicable sobre protección de datos, como la normativa sectorial sanitaria, que le es de obligado cumplimiento, siendo la entidad SERMESA (SERVICIOS DE MEDICINA PREVENTIVA, S.A.), un financiador del servicio. Las pruebas analíticas fueron realizadas en HOSPITAL POVISA, en laboratorio propio, con el objeto de realizar al paciente, una revisión médica. Por tanto, no hay contrato de análisis clínicos al ser un laboratorio interno.” En cuanto al literal de la información facilitada al paciente, que ya ha referido el reclamado en un punto previo, “en el momento en que acude a recibir dicha asistencia sanitaria”, se corresponde con las dos capas de acuerdo con la reunión del Comité de Protección de Datos del HOSPITAL POVISA, celebrada el día 13/06/2018. Así, en la primera figuran unos paneles informativos colocados en salas de espera, lugares de acceso y mostradores de atención a pacientes, En la segunda capa se informaba en la web y en mostradores de atención al paciente Del contrato suscrito con la entidad por orden del que se realizaron los análisis no se aporta nada B) Aporten copia de parte del concierto firmado con SERGAS, y señale desde que fecha o etapas presta o ha prestado HP servicios de concierto para SERGAS en la asistencia sanitaria, relacionados con el ámbito de actuación clínica que abarca al reclamante como usuario del sistema publico de asistencia sanitaria. Parte en la que se refiera la “Posición jurídica en cuanto a protección de datos” que adopta HP en el concierto de asistencia sanitaria suscrito con SERGAS en cuanto al tratamiento de datos y comunicación al sistema de gestión electrónica de historias clínicas ***SISTEMA. Manifiesta que se firmó el concierto el 1/09/2014, vigente en la actualidad., indica que el concierto “fue objeto de revisión en el procedimiento sancionador PS/00287/2018 y recurso contencioso administrativo 186/2019 en la Audiencia Nacional, valorándose que seria un “tratamiento y un Convenio sobre el que pesa el principio de cosa juzgada, entendiendo que no cabe revisión en vía administrativa.” No aporta copia de documento alguno. C) En cuanto al examen o valoración de las copias impresas de pantallas que aporta el reclamante con la información asistencial que dice: “He podido acceder a mi historia clínica de la aplicación ***SISTEMA del Servicio gallego de Salud (SERGAS).” y la petición del reclamado en sus alegaciones, el reclamante aporta las copias impresas de las pantallas de dichos acceso con los informes. Al respecto, se ha de indicar que el Decreto que regula la historia clínica electrónica en el SERGAS 29/2009, de 5/02, establece un capitulo III denominado “del acceso por los pacientes usuarios” que comienza con el articulo 19 titulado “derecho de acceso a los datos de la historia clínica electrónica” que puede ejercitarse por el paciente o usuario mediante la acreditación de su identidad. El artículo 20, lo configura como un derecho, no solamente de acceder sino de obtener copia de los informes o datos que figuran en la misma y en el artículo 21 como límites se establece que no puede ejercitarse en perjuicio del derecho de terceras personas. El artículo 22 establece el “acceso directo a la historia clínica electrónica por medios electrónicos internet “y que el ejercicio de este acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 deberá realizarse previa comprobación por el sistema ***SISTEMA de la identidad del interesado/a, a través de su firma electrónica o mediante otro mecanismo semejante que permita comprobar con “plena seguridad”. El artículo 23, la establece como una “forma de ejercicio de derecho de acceso a la información contenida en la historia clínica”, de acuerdo con la ley 11/ 2007 de 22/06 de acceso electrónico. Por tanto, siendo un derecho personalísimo y dado que el reclamado maneja una hipótesis sin argumento real que no se da, y no acredita indicio alguno de vulneración de la norma en el acceso a dicha historia, figurando asimismo en la web de SERGAS un apartado para dicho acceso, como en otras muchas Consejerías que se puede acceder a dichas historias, no se estima justificada la suspensión del procedimiento dado que además esta causa no entraría en los motivos que pueden justificarla, ni se justifica la petición al SERGAS de la legitimación de dichas consultas, o del registro de accesos, por lo que se deniega la prueba propuesta de indagar en este aspecto. Manifiesta que se opone a la inadmisión, señalando que los pantallazos que aporta en su denuncia no se corresponden con la aplicación que el SERGAS pone a disposición de los pacientes para acceder a su historia clínica, sino que se trata de información obtenida directamente desde la aplicación ***SISTEMA, herramienta accesible únicamente al personal sanitario del SERGAS y de los centros sanitarios concertados, lo que evidencia que o bien el reclamante es personal sanitario, o ha obtenido la información de forma fraudulenta, desleal o ilícita. Aporta la interfaz de la aplicación que permite a los pacientes el acceso a su historia clínica en SERGAS, existiendo el apartado “mi historia clínica Sergas” o “mi historia clínica en el Sistema Nacional de salud”, y a continuación muestra una segunda pantalla en la que figuran los informes médicos disponibles para otro paciente, en los diferentes Centros en los que el paciente haya recibido asistencia sanitaria, cuyo orden, disposición y visibilidad son distintos a los aportados por el reclamante, si bien también en cada episodio figura el signo para poder ser descargados. Manifiesta que esa interfaz es de ESAUDE, titularidad de SERGAS, en ningún caso ***SISTEMA, toda vez que esta se limita el acceso a profesionales sanitarios. Manifiesta que podría tratarse de un acceso ilegitimo a la información disponible en ***SISTEMA, pudiendo haber acceso a información de terceros. Solicita que se le pida al reclamante origen y forma en que obtuvo dicho acceso, tildándola de “obtención ilegal de las pruebas”. Con fecha 27/09/2022, se decide ampliar la prueba y solicitar: 1-A reclamante:
13. a)En su reclamación manifiesta que “he podido acceder a mi historia clínica de la aplicación ***SISTEMA del SERGAS”, y aporta copias impresas de pantallas. Se le solicita el origen y forma del acceso a ***SISTEMA, en calidad de que accede, ruta de acceso y modo de identificación para obtener lo que aportó a su reclamación.
14. b)En su reclamación manifiesta que recibió un SMS de notificación del reconocimiento médico por parte de KutxaBank Seguros con el encargado de tratamiento SERMESA donde me dan la cita el 25/10/19 para dicho reconocimiento médico con motivo del seguro de vida de un préstamo hipotecario. A tal efecto, se le solicita si puede aportar documentación de dicha manifestación y copia de documento que acredite lo manifestado y la calidad de los participantes que se mencionan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 Recibe la notificación el 30/09/2022, sin atender la petición 2-Al SERGAS, se le solicitó que informe:
15. a)Si a la aplicación ***SISTEMA pueden acceder de forma telemática pacientes para poder ver, descargar y obtener su historia clínica, y cual sería la dirección y la forma para que los pacientes accederían a poder realizar esas acciones. Subsidiariamente, si no lo fuera, informar de la web o plataforma a través de la que pueden acceder los pacientes a la historia clínica por medios. Se recibió respuesta el 21/10/2022 en la que manifiesta que la aplicación ***SISTEMA solo permite el acceso a profesionales del sistema público sanitario de Galicia tal y como se recoge en el decreto 29/2009 por el que se regula el uso y el acceso a la historia clínica electrónica así como los decretos posteriores que lo modifican, el 164/2013, de 24/10, y 168/2014 de 18/12. El acceso a datos de salud por los ciudadanos por medios telemáticos se puede hacer por medio de la plataforma E-SAUDE . Señala dos direcciones webs donde se puede encontrar y su regulación por Orden de 19/09/2016 que crea y regula la carpeta personal de salud. La información es la que se permite el acceso tal y como se recoge en la propia web sería: Mi historia clínica acceso a los informes de tu historia clínica electrónica Mi agenda consulta de tus citas Mis tratamientos información sobre tus tratamientos pasados actuales y futuros Mi atención sanitaria gestión de tus citas e información sobre tus profesionales Mis trámites información histórica sobre tu salud y gestión de trámites con el SERGAS Mi carpeta personal gestión de la propia salud y de la enfermedad.
16. b)Indiquen sí los resultados y contenidos que se visionan del acceso a la historia clínica de un paciente en formato telemático, que se pueden descargar desde ***SISTEMA y desde la plataforma que en su caso sea por la que los usuarios particulares puedan hacerlo, son iguales o hay variaciones. Manifiesta que desde la plataforma ***SISTEMA no se permite el acceso por parte de los ciudadanos por lo que no es factible descargar nada. En el portal corporativo del SERGAS se describe el tipo de informe que se puede consultar a través de la plataforma E-SAUDE. Se indica que la mayoría de los informes de tu historia clínica el SERGAS se pueden consultar desde el momento en que el profesional sanitario los ha generado a excepción de los casos que señala: -Informe de pruebas diagnósticas no laboratorio, informe de Medicina nuclear -De estado andrológico de urología -Pruebas de laboratorio no análisis clínico En estos casos, para poder consultar y descargar su informe deben haber transcurrido 30 días desde su realización o que haya tenido una consulta en atención primaria con posterioridad a la fecha de creación del informe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 Algunos informes de tu historia clínica digital no están disponibles a través de E -SAUDE. En el caso de que lo necesites debes contactar con la unidad de atención al paciente para solicitar tu historial completo. Por medio de la plataforma E SAUDE, se permite el acceso a informes médicos y el resto de información antes indicada en cuanto a los diferentes tipos de información. Para acceder a los diferentes tipos de información hay distintos tipos de acceso según sea el tipo de acceso a la plataforma se contará con más o menos información. Como se recoge en la web hay dos tipos de acceso: Sin identificación o con seguridad alta que requiere darse de alta en el sistema de dos modos, presencialmente en órganos o unidades administrativas de la Junta de Galicia o de manera electrónica a través de la Sede Electrónica. En cuanto a los accesos con seguridad alta, se indica que se puede acceder a toda tu información de salud y contenidos personalizados que ofrece la plataforma como los informes de tu historia clínica y los tratamientos. En el momento de consulta de la plataforma E SAUDE, la información adquirida es idéntica a la existente en ***SISTEMA, pero se debe tener en cuenta que la información en ***SISTEMA es dinámica, se puede actualizar por los profesionales sanitarios responsables de su elaboración. 3-A reclamado, se le solicita, que en el plazo de diez días, aporte:
17. a)“Copia del contrato suscrito con SERMESA que detalle la prestación a realizar y el objeto.” Con fecha 13/10/2022, manifestó: El reclamado y SERVICIOS DE MEDICINA PREVENTIVA, S.A. (SERMESA), basan su relación en un acuerdo para la operativa de tal forma que se llevan a cabo reconocimientos o pruebas médicas, conforme a diferentes criterios de solicitud, en virtud de unas tarifas que se renuevan periódicamente. Por tanto, la relación entre ambas partes no se encuentra articulada en un contrato de prestación de servicios como tal. El objeto del acuerdo entre las partes es la realización, por parte de HOSPITAL POVISA, de reconocimientos o pruebas médicas, a aquellas personas que son derivadas al centro, por parte de SERMESA. HOSPITAL POVISA, una vez recibe los datos identificativos de las personas derivadas al centro, se encarga de tramitar las citaciones. En aquellos casos en los que el usuario derivado no es paciente previo de HOSPITAL POVISA, sino que acude por primera vez al centro, se genera una historia clínica una vez identificado al paciente, en la que quedarán debidamente registradas las pruebas que se lleven a cabo, los resultados de las mismas y los informes elaborados por el personal del Hospital. Tal como hemos informado previamente, en nuestro escrito de alegaciones de fecha 5/04/2022, los pacientes son debidamente informados por HOSPITAL POVISA, sobre el tratamiento de sus datos personales, por diversas vías, como, por ejemplo, a través de los paneles informativos ubicados en todos los mostradores de atención al público, a los que necesariamente acuden antes de ser atendidos. Tras la realización de las actuaciones requeridas y previamente acordadas, los resultados de la asistencia prestada al paciente son remitidos a SERMESA, aplicando las oportunas medidas de seguridad, a fin de evitar el acceso a la información por personal no autorizado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 SÉPTIMO: Con fecha 2/11/2022, se emite propuesta de resolución con el siguiente literal: “Que por la Directora de la Agencia Española de Protección de Datos se archive la infracción, imputada a HOSPITAL POVISA, S.A., con NIF A36606788, del artículo 13 del RGPD de conformidad con el artículo 83.5
18. b)del RGPD, tipificada a efectos de prescripción en el artículo 72.1.
19. h)del RGPD.” Transcurrido el plazo otorgado no se recibieron alegaciones. HECHOS PROBADOS PRIMERO: El reclamante expone en su reclamación que: “He podido acceder a mi historia clínica de la aplicación ***SISTEMA del Servicio Gallego de Salud (SERGAS)” -***SISTEMA es el sistema de gestión electrónica de las historias clínicas del SERGAS- y ha visto que existen datos de episodios asistenciales médico sanitarios prestados en la clínica privada HOSPITAL POVISA (HP) en “régimen de aseguramiento privado”. El reclamante ejercita ante HP su derecho de acceso que se le contesta en escrito de 18/11/2020, coincidiendo los citados episodios con los que se contienen en ***SISTEMA. Aporta el reclamante las copias impresas de pantallas de las asistencias que se ven en la pantalla ***SISTEMA de SERGAS. En distintas pestañas y en forma de árbol o directorio de carpetas, se puede leer: primaria, especializada, distintos centros sanitarios, uno de ellos HOSPITAL POVISA, con los siguientes episodios asistenciales: 1) Dentro de ”otros informes y pruebas”, se ve uno de 4/04/2017,” historia clínica y evolución “ “paciente de 42 años que es remitido por su deseo de saber el grupo sanguíneo por embarazada” figurando anotado el mismo. En cliente, figura GENERALI ESPAÑA. 2) Dentro de ”otros informes y pruebas”, se ve uno de 19/09/2017,” informe medico de urgencias” con motivo de la consulta. En cliente, figura GENERALI ESPAÑA. 3) Dentro de ”otros estudios e informes”, “laboratorio”, figuran cuatro carpetas, tres fechadas 25/10/2019 y la ultima el 6/04/2017. En las tres, de 25/10/2019, se ven datos de su analítica. Junto a este, el reclamante aporta copia impresa de mensaje de texto, de 17/10/2019, notificación de reconocimiento médico, según reclamante, de KUTXABANK seguros, con Servicios de Medicina Preventiva SA, SERMESA, “donde me dan cita para reconocimiento médico el 25/10/2019, con motivo del seguro de vida de un préstamo hipotecario.” Las pruebas analíticas son realizadas por HP, en sus instalaciones, laboratorio propio, que tenía suscrito un acuerdo con SERMESA, financiador del servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 SEGUNDO: HP, mantiene desde 2014 suscrito un concierto con el SERGAS, en virtud del cual se presta asistencia sanitaria a un núcleo poblacional de la provincia de Pontevedra. En cumplimiento de dicho concierto, el sistema de gestión de historias clínicas de HP, se comunica con el sistema de gestión de historias clínicas del SERGAS denominado ***SISTEMA. La información relativa a la historia clínica del reclamante consta en la plataforma ***SISTEMA desde el mismo momento en que el paciente es atendido en el centro, accesible por parte del SERGAS, según el reclamado, habida cuenta del sistema de la historia clínica electrónica única implantada en todos los centros de salud con concierto SERGAS. TERCERO: En el derecho de acceso proporcionado el 18/11/2020 al reclamante por el reclamado, se le informó : -“los datos relativos a sus prestaciones sanitarias privadas prestadas por HOSPITAL POVISA han sido comunicados al pagador indicado por usted, los datos relativos a sus prestaciones sanitarias públicas prestadas por HOSPITAL POVISA no han sido comunicados a ningún tercero distinto de los profesionales asistenciales de HOSPITAL POVISA necesarios para la prestación de una asistencia sanitaria de calidad”. -Copia de una cláusula de “Consentimiento personal informado” de 1/06/2016, mencionando la Ley 41/2002, reguladora de la autonomía del paciente y los derechos y obligaciones en materia de información (LAP), que proporciona sus datos a dicho centro para ser atendido, y que su datos se incorporan a un fichero automatizado de datos para uso interno de dicha entidad. Le informa del ejercicio de sus derechos, y de que “He sido informado de que se abrirá una historia clínica a su nombre, donde consta además de dichos datos, todo lo relativo a su salud, tratamiento y lesiones”. “Asimismo, he sido informado de que Hospital Povisa en caso de que sea asistido con cargo a una entidad aseguradora, podrá facilitar descripción de las dolencias o lesiones que padece el paciente, así como informe puntual tanto de su evolución como del alta y secuelas en su caso”. En el apartado de “consiento de forma expresa” se indica, “en cumplimiento de lo dispuesto en la LOPD para que HOSPITAL POVISA pueda facilitar descripción de las dolencias y lesiones y demás datos sobre la salud del paciente a la entidad aseguradora responsable del abono de la asistencia prestada en HOSPITAL POVISA”, con la firma del paciente. CUARTO: En pruebas se acreditó que en general, los usuarios y ciudadanos no pueden acceder a su historia clínica a través de ***SISTEMA, a la que solo pueden acceder los profesionales de la salud. Aquellos, acceden a través de la plataforma E-SAUDE, pudiéndose obtener acceso a informes de la historia clínica de cada paciente, tratamientos pasados, actuales y futuros, gestión de la propia salud y la enfermedad. Se solicitó al reclamante en pruebas como había el accedido a ***SISTEMA si no consta que sea profesional sanitario, pero no respondió. QUINTO: HP detalla en alegaciones, que desde 1/06/2018, con motivo de la entrada en vigor del RGPD, varió la forma de informar a los usuarios, al “entregar “ la información sobre tratamiento de datos a los “pacientes nuevos”, aportando un documento 1 en el que se inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22 forma de la base legitimadora y del SERGAS como destinatario de datos de la historia clínica y lleva un espacio para su firma. Asimismo, para cumplir con la obligación de informar del RGPD, desde 13/06/2018, HP, “reformó” la información sobre la recogida de datos en dos capas, a través de carteles informativos, del siguiente modo: -Una primera capa conteniendo información básica, con carteles informativos en mostradores de recepción, salas de espera y máquinas utilizadas para que los pacientes descarguen con su tarjeta sanitaria información sobre sus citas. Se contiene el literal: “información básica sobre protección de datos”, figurando: el responsable del tratamiento, la finalidad, derechos, y como destinatarios:” Se comunicarán datos a entidades pagadoras de los servicios sanitarios y las obligatorias legalmente”. También se indica que para mas información se puede acudir a la pagina web o a los mostradores de recepción. No figura referencia al SERGAS en esa primera capa, aunque si figura en destinatarios: “se comunicarán datos a entidades pagadoras de los servicios sanitarios y las obligatorias legalmente” -La segunda capa, serían carteles informativos colocados en los mostradores de atención a los pacientes, y en la página web, bajo el documento denominado “política de privacidad de pacientes”, avisa del cambio del RGPD y se produce una “actualización para su adaptación”. Se informa del SERGAS como destinatario de datos de la historia clínica. Se informa con el literal: “Por último, con la finalidad de garantizar la existencia de la historia clínica única por Centro y cumplir con la legalidad vigente y toda vez que HOSPITAL POVISA es centro concertado para la prestación de asistencia sanitaria pública, resulta imprescindible que los datos de la historia clínica estén accesibles por los facultativos del SERVICIO GALLEGO DE SALUD, garantizando una mayor seguridad y evitando duplicidad de pruebas, administración de medicamentos y errores derivados de la falta de información asistencial.” Aporta acreditación de lo manifestado en documento dos. SEXTO: En cuanto a la información que se proporciona al reclamante en la recogida de datos derivada de su sometimiento a análisis clínicos que se realiza el 25/10/2019 con el reclamado, última asistencia prestada por HP que figura en ***SISTEMA, HP manifestó, que actuó como laboratorio clínico por cuenta de SERMESA financiadora del servicio. Se considera que a dicha fecha, implantado desde 13/06/2018 por el reclamado, figuraban las mencionadas actualizaciones de información en el tratamiento de pacientes en dos capas, entre las que se incluían la concreción del destinatario de datos SERGAS, y la base legitimadora. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22 Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Se imputa a HP una infracción del artículo 13 del RGPD, que establece: “1,Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
20. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
21. b)los datos de contacto del delegado de protección de datos, en su caso;
22. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
23. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
24. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
25. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.” 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
26. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
27. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
28. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 a su retirada;
29. d)el derecho a presentar una reclamación ante una autoridad de control;
30. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
31. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” El artículo 4 del RGPD, “definiciones”, indica: 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero” 15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” El acuerdo de inicio entra en la obligación del deber de informar al interesado cuando se obtienen datos personales relativos a él, indicando el precepto que le ha de facilitar “toda” la información “en el momento en el que se obtengan”, que comprende los párrafos
32. a)a
33. f)del artículo 13 del RGPD, y en el segundo párrafo, añade para ese mismo momento, que facilitará: “información necesaria para garantizar un tratamiento de datos leal y transparente”, así como la excepción en el párrafo 4, de que: “Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.”, como sucede en este caso, que dispone de parte de la información y sus datos ya constaban en los ficheros del reclamado por atenciones médicas previas. Estas provisiones exceden de las que la anterior LOPD contemplaba como derecho a la información en la recogida de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22 Frente e la manifestación del reclamado de que no vuelca sus datos en los sistemas de información de SERGAS, pero si que se produce con finalidad asistencial y en beneficio de los pacientes la interconexión de datos que supone la historia clínica única, comunicación del HP dirección ***SISTEMA del SERGAS, y que solo se produce cuando el paciente acude como tal para ser atendido a un centro público de SERGAS, ello sería suficiente para ser considerado un tratamiento de datos por comunicación, con destinatario concreto, especifico, conocido del que tendría que ser informado el paciente cuando es asistido por HP, con independencia de la que. en su caso, debiera proporcionar el SERGAS. El reclamante se apercibió de que los datos de sus asistencias en HP figuraban en el sistema electrónico de gestión de historias clínicas de ***SISTEMA, gestionado por el SERGAS, y es un hecho no negado del reclamado que reconoce que es así por mor de la historia clínica única. Con independencia de que el reclamante no haya justificado como pudo acceder a ***SISTEMA, o de la calificación que de dicho acceso se pueda considerar, el paciente tiene derecho de acceso a la documentación de la historia clínica, y a obtener copia de los datos que figuren en ella (artículo 18 LAP). Se configura así por la legislación sanitaria un derecho de alcance más amplio que el de acceso establecido en la normativa de protección de datos, que afecta no sólo a los propios datos, sino a la documentación en que los mismos se contienen. Por tanto, si el derecho de acceso alcanza al documento en que el dato es recogido, como parte de la documentación sanitaria, como por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas, el RGPD también reitera que ello incluiría el derecho a obtener copia. Dando por cierto que la misma información dada en el derecho de acceso por el reclamado es la que obtuvo en el acceso por ***SISTEMA, y que se contempla en Ley, no parece deducirse que el instrumento aportado consistente en el acceso a ***SISTEMA pueda afectar a la defensa o garantías de defensa del reclamado, cuando por el principio de cumplimiento, debe acreditar y garantizar la observancia de los derechos y principios en el tratamiento de datos del reclamante. Además, a la misma información y al mismo contenido tendría acceso el reclamante en la plataforma oficial que da acceso a su información clínica E- SAUDE, según informó el SERGAS, a la que podría acceder a los episodios objeto de la reclamación, que figuran en los sistemas del reclamado, y que por aplicación de la historia clínica única que defiende se traslada a ***SISTEMA, que tampoco ha negado el reclamado. Se estima que la alegación de nulidad de dicho documento aportado como uno de los medios de contraste con los datos que del reclamante disponía el reclamado como se vio en el acceso no es razón suficiente para anular dicha aportación, ya que en todo caso es un hecho no negado por el reclamado ni perjudica la explicación que ha de dar sobre el sistema de información de comunicación de datos a destinatarios que ha de dar a los pacientes, en concreto al reclamante. Por otro lado, el principio de transparencia es una obligación general conforme al RGPD, que se aplica independientemente de la base jurídica para el tratamiento, y a lo largo de todo el ciclo de vida del mismo, y se aplica a tres aspectos fundamentales: