PS-00187-2024

1/27  Expediente N.º: EXP202311056 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 3 de noviembre de 2023 A.A.A. (en adelante, la parte reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD), contra la CONSELLERIA DE SANIDAD DE LA GENERALITAT VALENCIANA con NIF S4611001A (en adelante, la parte reclamada o CONSELLERIA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone accesos indebidos a su historia clínica y su divulgación en un chat a terceros, aparentemente formado por compañeros de trabajo. El reclamante es profesional sanitario y trabajó (…) en el Centro de Salud de ***LOCALIDAD.1 (***PROVINCIA.1), encontrándose en situación de incapacidad temporal (…). Asimismo, refiere que ha formulado denuncia y que se están instruyendo en el ***JUZGADO.1 de ***LOCALIDAD.1, las Diligencias Previas n º ***REFERENCIA.1. Junto a la reclamación aporta listado de los accesos a su historia clínica, auto del referido juzgado admitiendo a trámite la denuncia, así como la denuncia interpuesta. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la CONSELLERÍA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10/08/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 7/09/2023 se recibe en esta Agencia escrito de respuesta de la Dirección de Atención primaria del departamento de salud de ***LOCALIDAD.1 de la CONSELLERIA indicando que: “• Verificación o comprobación de que los accesos hayan sido realmente indebidos: Ante un escrito de fecha 29 de septiembre de 2021 presentado por A.A.A. a la Gerencia de este Departamento de Salud de ***LOCALIDAD.1, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27 procedió a realizar una información previa, con el fin de clarificar los hechos e iniciar expediente disciplinario si fuese procedente. Con fecha 4 de octubre de 2021 se solicitó a la UDCA informe sobre la trazabilidad de la Historia Clínica, personas que han accedido y motivo de acceso a la misma. Entre el 18 y 26 de octubre de 2021 se lleva a cabo la comparecencia de todos los profesionales indicados por el usuario, con el fin de comprobar el motivo de acceso a la historia clínica del mismo. Para la comparecencia se utilizan preguntas cerradas que fueron contestadas y firmadas por cada uno de los profesionales. Tras las comparecencias se concluyó que el acceso a la historia clínica se había llevado a cabo en el ejercicio de su profesión o cargo, no encontrando ningún acceso indebido, por lo que se archiva la información previa y se decide la NO APERTURA DE EXPEDIENTE DISCIPLINARIO. • Comprobación de la comunicación realizada por parte de la persona reclamante, según consta en su escrito, respecto a los accesos que aporta, y si se realizó dicha comunicación, detallar la atención que se realizó de la misma por parte del responsable, y la respuesta que se le facilitó: la primera parte de la respuesta está contestada en el punto anterior, en cuanto a la segunda parte, decir que en fecha 12/11/2021 y con acuse de recibo, se remite a A.A.A., escrito de fecha 11/11/2021 de la ***PUESTO.1 del Departamento de Salud de ***LOCALIDAD.1 como respuesta a su solicitud exponiendo que las conclusiones sobre las actuaciones realizadas se consideran legítimas con el ejercicio de su profesión o cargo. (el acuse de recibo está debidamente entregado en fecha 15/11/2021). Cabe decir que en fecha 14/08/2023 se vuelve a remitir dicha contestación al interesado a solicitud del mismo a una dirección de correo electrónico facilitada por A.A.A.. • Decisiones adoptadas a propósito de esta reclamación y cualquier otra información que se considere relevante, incluidas las medidas disciplinarias que pudieran adoptarse al efecto: durante las comparecencias realizadas, se recordó a todos los entrevistados la normativa vigente en cuanto al acceso a la Historia Clínica recogida en la Ley 41/2002, de 14 de noviembre, reguladora de la Autonomía del Paciente y de derechos y obligaciones en materia de información y documentación clínica. Con fecha 15/02/2022, la Gerencia del Departamento de Salud de ***LOCALIDAD.1 remitió a todo el personal del Departamento escrito procedente de la Dirección General de Recursos Humanos, con el asunto “Efectos del acceso a Historia Clínica Electrónica sin consentimiento, ni autorización, ni justificación”, recordando las normas vigentes al respecto TERCERO: Con 3/10/2023 la Directora de la Agencia Española de Protección de Datos acordó no admitir a trámite la reclamación presentada, contra la CONSELLERIA. La resolución fue notificada a la parte recurrente, en fecha 3/10/2023, según consta acreditado en el expediente. CUARTO: En fecha 3/11/2023 la parte reclamante interpuso Recurso de Reposición, contra la mencionada resolución de inadmisión, mostrando su disconformidad con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27 misma, exponiendo nuevos hechos y aportando nueva documentación, para acabar solicitando, que se admitiera trámite la reclamación inicial presentada ante la AEPD. . QUINTO: En fecha 23/01/2024 se remitió el Recurso interpuesto a la parte reclamada según lo establecido en el artículo 118.1 de la LPACAP, a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se verificó mediante escrito de respuesta de fecha 26/02/2024. SEXTO: Con fecha 3/04/2024 la entonces Directora de la AEPD, dictó Resolución estimando el Recurso de Reposición interpuesto por A.A.A. contra la Resolución de esta Agencia, dictada en fecha 3/10/2023, en relación con los posibles accesos indebidos a su historia clínica, y admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SÉPTIMO: Con fecha 12/08/2024 la Directora de la AEPD acordó iniciar procedimiento sancionador a la CONSELLERIA por la presunta infracción del artículo 5.1.

1. f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. OCTAVO: Notificado el citado Acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, de la LPACAP, la parte reclamada presentó escrito de alegaciones, en fecha 4/09/2024, al que aportaba la siguiente documentación: - - DOCUMENTO Nº 1: Informe del “Departament de Salut de ***LOCALIDAD.1” (Conselleria de Sanitat – Oficina de Seguridad de la Información- Generalitat Valenciana), firmado en fecha 22/08/2023, por el Director de Atención Primaria del Departamento de Salud de ***LOCALIDAD.1. DOCUMENTO Nº 2: Informe del “Departament de Salut de ***LOCALIDAD.1 - Gerencia - Hospital de ***LOCALIDAD.1” (Conselleria de Sanitat - Generalitat Valenciana), firmado en fecha 3/09/2024 por el ***PUESTO.1 del Departamento de Salud de ***LOCALIDAD.1. En su escrito de alegaciones, la parte reclamada manifiesta: “En tiempo y forma mediante el presente escrito venimos a SOLICITAR NUEVAMENTE LA SUSPENSIÓN del presente procedimiento y ello por el siguiente MOTIVO: • Debemos indicar que, incoadas las diligencias penales seguidas ante el ***JUZGADO.1 de ***LOCALIDAD.1 (Diligencias Previas ***REFERENCIA.1), no se ha notificado a esta Conselleria la resolución de las mismas. Por este motivo esta parte presentó alegaciones al recurso instado por A.A.A., en fecha 13/02/2024 solicitando la suspensión del procedimiento hasta la finalización del procedimiento penal, el cual es orden jurisdiccional preferente de conformidad con el Art. 44 de la Ley Orgánica del Poder Judicial. Interpretamos aquí que, en este caso, es de aplicación el principio “non bis in ídem”, en virtud del cual un mismo hecho no puede ser objeto de dos procesos distintos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27 Por tanto, dada esta situación, esta Conselleria ha considerado no iniciar ningún procedimiento manteniéndose a la espera de resolución judicial. (…) De igual forma, venimos a oponernos al acuerdo de inicio de procedimiento sancionador formulando las siguientes ALEGACIONES: Primera. – Reiteramos que los hechos fueron investigados por la gerencia del departamento de salud de ***LOCALIDAD.1, remitiéndonos al informe realizado por el director Médico de Atención Primaria de fecha 22 de agosto de 2023, en el cual concluye: “En el caso de considerar que las actuaciones objeto de la reclamación son susceptibles de algún tipo de responsabilidad, deberán realizarse las actuaciones correspondientes: reiterar que tras la realización de la información previa relativa a este caso, se concluye que todos los profesionales entraron en la historia clínica del interesado en ejercicio de su profesión o cargo, y no encontrando ningún acceso indebido, se procedió al archivo de la información previa y se decidió la no apertura de expediente disciplinario. (el subrayado es de la AEPD) Acreditativo de dicho extremo adjuntamos como DOCUMENTO Nº 1: Informe de la Gerencia del departamento de salud de ***LOCALIDAD.1 anteriormente mencionado, junto con la documentación correspondiente. Por otro lado, en fecha 3/09/2024, nos dan traslado de nuevo informe de la Gerencia del departamento de salud de ***LOCALIDAD.1 narrando los hechos acontecidos con relación a la denuncia presentada por A.A.A., que adjuntamos como DOCUMENTO Nº 2. Segunda. - Por otro lado, a tenor del recurso estimatorio de la AEPD, esta Conselleria valorará iniciar la adopción de diligencias de investigación para verificar los hechos que se manifiestan y adoptar a los efectos los posibles expedientes disciplinarios en caso de ser necesario.” NOVENO: Esta Agencia, solicitó tanto a la parte reclamante como al ***JUZGADO.1 de ***LOCALIDAD.1, copia de la Sentencia o Auto dictados por ese Juzgado, en las Diligencias Previas Nº ***REFERENCIA.1, por unos hechos que podrían presentar identidad con los examinados en el presente expediente sancionador. La parte reclamante presentó, en fecha 5/06/2025, escrito por el que solicitaba continuar con el presente procedimiento y al que adjuntaba, Auto de Sobreseimiento provisional, que devino definitivo el día 8/04/2025, respecto de las Diligencias mencionadas y en el que Su Señoría, en síntesis, manifiesta: “Las diligencias practicadas han permitido constatar que los accesos supuestamente indebidos a la historia clínica del denunciante que se recogen en la denuncia se produjeron fundamentalmente durante el periodo de baja este, que fue del 13 de agosto al 30 de septiembre de 2021, de hecho, la gran mayoría de ellos son próximos al inicio de su situación de baja. Esto tiene relevancia por cuanto todos los investigados y las dos testigos han declarado que A.A.A., pese a encontrarse de baja, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/27 acudía constantemente al centro de salud y generaba problemas, (…), por lo que recibieron la instrucción del coordinador de comprobar, cada vez que accedía el denunciante al centro de salud, si tenía cita médica y si estaba o no dado de alta. Esto resultaba imprescindible pues, aunque estaba de baja podía entrar en el centro de salud como paciente, o bien podían darle en cualquier momento el alta y entonces debía tener libre acceso (…).” (…) “B.B.B. indicó que era conocedor de que A.A.A. iba diciendo que iba a denunciar a todos por entrar en su historial, pero consideró necesario el acceso para conocer si estaba citado como paciente o de alta.” (…) “En definitiva, todos los investigados han coincidido en sus declaraciones en que el motivo de que entraran en el historial de A.A.A. fue por la instrucción dada por el coordinador del centro, en el ejercicio legítimo de sus funciones, porque el denunciante acudía constantemente al centro de salud con diversas excusas, incluso afirmaron que (…) con dicha finalidad.” (…) Por todo ello, considero que todos los investigados estaban amparados durante el tiempo de baja de A.A.A. por la instrucción dada por el coordinador y que esta se encontraba justificada, puesto que no se buscaba conocer los datos médicos de A.A.A. sino mantener el orden en el centro de salud, evitar sustracciones (…), finalidades todas ellas totalmente legítimas.” (…) “Además, varios hicieron referencia a que por la lentitud del sistema dejaban sus tarjetas con la sesión iniciada y que este podía acceder a ellas.” (…) “En sede administrativa, por parte del Departamento de Salud de ***LOCALIDAD.1 se llevó a cabo una investigación también por los supuestos accesos no autorizados al historial clínico de A.A.A. y, tras realizar comprobaciones y tomar declaración a los distintos profesionales, se concluyó que las actuaciones realizadas por ellos eran legítimas con el ejercicio de su profesión o cargo. Así se ha acreditado documentalmente. “Esta misma conclusión es la que considero que cabe alcanzar tras las diligencias practicadas en esta sede penal, hubo accesos al historial del denunciante, pero ni fueron para descubrir secretos ni vulnerar su intimidad, sino que fueron justificados, bien porque se trató de accesos que él permitió, bien porque obraban amparados en el cumplimiento de un deber, para desempeñar sus funciones o tras haber recibido instrucciones de lo que debían hacer cuando este acudía encontrándose de baja al centro de salud (en tal situación no dejaba de ser un paciente) y desde luego que no hay ningún indicio, siquiera mínimo, de que se divulgara cualquier tipo de información sensible referente a su historial médico, pudiendo deberse la percepción del investigado a otros comportamientos que todos han relatado relacionados con (…).” (el subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27 DÉCIMO: Con fecha 3/07/2025 se formuló propuesta de resolución, proponiendo la declaración de una infracción, por parte de la CONSELLERIA, del artículo 5.1.
2. f)del RGPD, tipificada en el artículo 83.5 del RGPD. Además, se proponía que se ordenase que, en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de tres meses, la CONSELLERIA acreditase el establecimiento de las medidas técnicas y organizativas precisas para garantizar la confidencialidad de las historias clínicas de los pacientes, impidiendo que se produzcan situaciones similares en el futuro. UNDÉCIMO: Con fecha 21/07/2025, la CONSELLERIA ha formulado las siguientes alegaciones a la propuesta de resolución: “Primera. – Que esta Conselleria ya informó en el presente procedimiento de la pendencia de diligencias penales seguidas ante el ***JUZGADO.1 de ***LOCALIDAD.1 (Diligencias Previas ***REFERENCIA.1), iniciadas mediante denuncia del reclamante frente a las personas que habían accedido a su historia clínica. El citado procedimiento ha finalizado finalmente mediante Auto de sobreseimiento provisional y su consiguiente archivo del Juzgado anteriormente mencionado de fecha ***FECHA.1, y se acompaña como DOCUMENTO ÚNICO. La citada resolución en su parte dispositiva concluye (citamos textualmente): “Que las actuaciones realizadas por ellos eran legítimas con el ejercicio de su profesión o cargo. Así se ha acreditado documentalmente. Esta misma conclusión es la que considero que cabe alcanzar tras las diligencias practicadas en esta sede penal, hubo accesos al historial del denunciante, pero ni fueron para descubrir secretos ni vulnerar su intimidad, sino que fueron justificados, bien porque se trató de accesos que él permitió, bien porque obraban amparados en el cumplimiento de un deber, para desempeñar sus funciones o tras haber recibido instrucciones de lo que debían hacer cuando este acudía encontrándose de baja al centro de salud (en tal situación no dejaba de ser un paciente) y desde luego que no hay ningún indicio, siquiera mínimo, de que se divulgara cualquier tipo de información sensible referente a su historial médico, pudiendo deberse la percepción del investigado a otros comportamientos que todos han relatado relacionados con su (…), incluso admitida por él” De modo que, queda acreditado que los accesos que se produjeron a la historia clínica de A.A.A. están justificados ya que se llevaron a cabo en el ejercicio de sus funciones. Esta resolución es relevante para el presente procedimiento, y la misma debe ser tenida en cuenta, a fin de proceder al archivo del presente procedimiento sin imposición de sanción a esta Conselleria, y ello por el siguiente motivo:   En las diligencias de investigación se recibió la declaración de los investigados que manifestaron las especiales circunstancias que se dieron y que justifican los accesos realizados. En relación con las pruebas aportadas, se acreditan que los accesos denunciados han sido justificados (vid fundamento derecho único), siendo reconocida por el propio reclamante (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27  De igual forma, de los testimonios aportados se ha acreditado que en alguna ocasión el denunciante hoy reclamante ha puesto en peligro la seguridad del centro de salud, debiendo intervenir las fuerzas y cuerpos de seguridad. Segunda. – Reiteramos que los hechos ya fueron investigados por la gerencia del departamento de salud de ***LOCALIDAD.1, concluyendo que todos los profesionales entraron en la historia clínica del interesado en el ejercicio de su profesión o cargo, y no encontrando ningún acceso indebido, se procedió al archivo de la información previa y se decidió la no apertura de expediente disciplinario. (Vid en escrito de Alegaciones a la iniciación de procedimiento sancionador elaborado por Conselleria en fecha 04 de septiembre de 2024). Tercera. – En cuanto al escrito de recurso de reposición de fecha 02 de noviembre de 2023 presentado por la parte reclamante, en el que se aporta el Documento nº 2 como prueba, siendo esta una captura de pantalla de una conversación de grupo de “whats app” de terceros en el que el reclamante no forma parte, debemos informar: Que la obtención de este tipo de contenido sin consentimiento de los intervinientes vulnera los derechos fundamentales al honor, a la intimidad personal y al secreto de las comunicaciones, reconocidos en el artículo 18 de la CE, así como en la jurisprudencia consolidada del Tribunal Constitucional y del Tribunal Supremo. Por tanto, nos encontramos ante una prueba ilícitamente obtenida, en los términos del artículo 11.1 de la Ley Orgánica del Poder Judicial, que dispone: “No surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales”. Por otro lado, debe subrayarse que el intento de centrar el procedimiento en este tipo de elementos accesorios, como es una captura no válida, no debe desviar la atención del núcleo del conflicto, que reside en el comportamiento (…) del reclamante, cuya conducta representa un verdadero riesgo para su entorno, servicio de salud público, así como para los propios pacientes. Cuarta. – Cabe recalcar que lo acontecido se trata de una situación extraordinaria, es decir, un hecho aislado en el que ha prevalecido un interés mayor que es el de la propia salud del reclamante y del resto de pacientes atendidos con finalidad asistencial. Por otro lado, esta Conselleria ha ido aplicando durante todo este tiempo, medidas técnicas y organizativas apropiadas garantizando un nivel de seguridad adecuado al riesgo, no obstante, estamos en continua formación y refuerzo de estas medidas debido al avance tecnológico y las nuevas aplicaciones sanitarias. (…).” Se acompaña Auto del ***JUZGADO.1 de ***LOCALIDAD.1 (Diligencias previas ***REFERENCIA.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 HECHOS PROBADOS PRIMERO: El reclamante es profesional sanitario y trabajó (…) en el Centro de Salud de ***LOCALIDAD.1 (***PROVINCIA.1), encontrándose en situación de incapacidad temporal (…). A lo largo de los documentos obrantes en el expediente, queda probado que se produjeron decenas de accesos a la Historia Clínica del reclamante, por profesionales sanitarios del Centro de Salud de ***LOCALIDAD.1 (***PROVINCIA.1), a saber:  Documento, de 23 páginas, “Extracción de accesos y asistencias” aportado por el reclamante.  Auto de Sobreseimiento del ***JUZGADO.1 de ***LOCALIDAD.1, dictado en las en las Diligencias Previas Nº ***REFERENCIA.1: “… todos los investigados han coincidido en sus declaraciones en que el motivo de que entraran en el historial del Sr… (el subrayado es de la AEPD) ” …que cabe alcanzar tras las diligencias practicadas en esta sede penal, hubo accesos al historial del denunciante, …” (el subrayado es de la AEPD)  Informe del “Departament de Salut de ***LOCALIDAD.1” de fecha 22/08/2023: “…reiterar que, tras la realización de la información previa relativa a este caso, se concluye que todos los profesionales entraron en la historia clínica del interesado en ejercicio de su profesión o cargo, y no encontrando ningún acceso indebido, se procedió al archivo de la información previa y se decidió la no apertura de expediente disciplinario.” (el subrayado es de la AEPD)  Escrito de Alegaciones de la CONSELLERIA de fecha 4/09/2024: “…todos los profesionales entraron en la historia clínica del interesado…” (el subrayado es de la AEPD) SEGUNDO: Respecto a los accesos concretos al historial clínico de la parte reclamante, por parte de profesionales sanitarios del Centro de Salud de ***LOCALIDAD.1 (***PROVINCIA.1), consta en el expediente el documento, de 23 páginas, “Extracción de accesos y asistencias” (con membrete y sello de la CONSELLERIA), en el que se mezclan Centros de Salud de ***LOCALIDAD.2, ***LOCALIDAD.3, ***LOCALIDAD.4 y ***LOCALIDAD.1, Hospital Comarcal de ***LOCALIDAD.1, Centros de Inspección, Centros de Conductas adictivas y Centros de Salud Mental. En dicho documento, y respecto a los ACCESOS (página 7), se detallan en columnas:   NIF: cuatro números Persona que accede: Nombre y Apellidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27         Tipo Acceso: Consulta historia de salud, con cita, sin cita con presencia del paciente y sin cita Sin presencia del paciente. Origen: Revisión Historia, Cita programada, Sin cita previa, Atención continuada, Fuera de Historia Motivo: Revisar Historia, Emitir informes, Pruebas de imagen, Consulta asistencias, Revisar y editar Historia, Inspección servicios sanitarios Aplicación que accede: ***APP.1, ***APP.2 y ***APP.3 Informe accede: en blanco Fecha Hora Duración (min) En el documento ACCESOS constan, desde el 16/12/2020 hasta el 15/04/2023, más de 70 accesos, del tipo: “Tipo Acceso Consulta historia salud Origen Revisión Historia Sin cita Sin presencia paciente Sin cita previa Motivo Revisar Historia Revisar y editar Historia” Por otro lado, constan también decenas de accesos, del tipo: “Tipo Acceso Sin cita previa, Origen Cita previa Motivo (vacío) Con presencia del paciente Con cita Cita programada (vacío)” Del análisis del mencionado documento, se desprende que los profesionales sanitarios del Centro de Salud de ***LOCALIDAD.1, en ocasiones atendían profesionalmente al reclamante sin necesidad de consultar su historial clínico: “Con presencia del paciente. Con cita” y con la columna “Motivo” vacía de contenido, es decir no consta que se consultase o editase su historia clínica y otras veces, se revisaba y editaba su historia clínica, sin tan siquiera estar presente el reclamante o/y sin cita previa. “Sin cita Sin presencia paciente - Revisar y editar Historia”. TERCERO: En relación con los motivos de tales accesos la parte reclamante, manifestaba en su Recurso de Reposición que: “Del simple análisis de los accesos se denota un claro ánimo morboso de dichos accesos pues desborda cualquier tipo de lógica que en el breve periodo en el que A.A.A. presto sus servicios en el ambulatorio de ***LOCALIDAD.1 en el periodo comprendido entre el 16 de diciembre de 2020 hasta el 30 de septiembre de 2021 y nos encontramos con nada más y nada menos que en ese periodo se han realizado 195 (CIENTO NOVENTA Y CINCO) ACCESOS y se han realizado mediante 50 (CINCUENTA) PERSONAS DISTINTAS.” (el subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 Según indica el reclamante, los diez profesionales sanitarios que accedieron a su historia clínica, lo habrían hecho sin contar con su autorización y sin mediar relación asistencial:  (…) Respecto al motivo por el cual se había accedido al Historial Clínico del reclamante, la Gerencia del Departamento de Salud de ***LOCALIDAD.1, afirma: “Se procedió a realizar una información previa, con el fin de clarificar los hechos e iniciar expediente disciplinario si fuese procedente. Con fecha 4 de octubre de 2021 se solicitó a la UDCA informe sobre la trazabilidad de la Historia Clínica, personas que han accedido y motivo de acceso a la misma. Entre el 18 y 26 de octubre de 2021 se lleva a cabo la comparecencia de todos los profesionales indicados por el usuario, con el fin de comprobar el motivo de acceso a la historia clínica del mismo. Para la comparecencia se utilizan preguntas cerradas que fueron contestadas y firmadas por cada uno de los profesionales. Tras las comparecencias se concluyó que el acceso a la historia clínica se había llevado a cabo en el ejercicio de su profesión o cargo, no encontrando ningún acceso indebido, por lo que se archiva la información previa y se decide la NO APERTURA DE EXPEDIENTE DISCIPLINARIO.” (el subrayado es de la AEPD). En resumen, la CONSELLERIA informa que todos los accesos por los profesionales sanitarios del Centro de Salud de ***LOCALIDAD.1 se habían realizado por motivos profesionales, es decir en el ejercicio de la profesión sanitaria. Este aspecto se analizará en los Fundamentos de Derecho siguientes. Finalmente, consta en el Auto de Sobreseimiento provisional, respecto de las Diligencias Previas Nº ***REFERENCIA.1, que devino definitivo el día 8/04/2025, lo siguiente: “Las diligencias practicadas han permitido constatar que los accesos supuestamente indebidos a la historia clínica del denunciante que se recogen en la denuncia se produjeron fundamentalmente durante el periodo de baja este, (…), de hecho, la gran mayoría de ellos son próximos al inicio de su situación de baja. Esto tiene relevancia por cuanto todos los investigados y las dos testigos han declarado que A.A.A., pese a encontrarse de baja, acudía constantemente al centro de salud y generaba problemas, (…), por lo que recibieron la instrucción del coordinador de comprobar, cada vez que accedía el denunciante al centro de salud, si tenía cita médica y si estaba o no dado de alta. Esto resultaba imprescindible pues, aunque estaba de baja podía entrar en el centro de salud como paciente, o bien podían darle en cualquier momento el alta y entonces debía tener libre acceso (…). (…) En definitiva, todos los investigados han coincidido en sus declaraciones en que el motivo de que entraran en el historial de A.A.A. fue por la instrucción dada por el coordinador del centro, en el ejercicio legítimo de sus funciones (…)·” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 CUARTO: Asimismo, constan en el expediente por haber sido aportados por el reclamante, capturas de pantalla de un grupo de la aplicación de mensajería WhatsApp, discutiendo los hechos objeto de la presente reclamación. Dicho grupo de WhatsApp según manifiesta el reclamante y se constata en las capturas de WhatsApp aportadas, estaría formado no solo por personal sanitario del Centro de Salud de ***LOCALIDAD.1, sino también por celadores o personal de administración. Se transcribe de literal captura de pantalla de WhatsApp, por su interés: “***GRUPO.1 B.B.B. ***LOCALIDAD.1, C.C.C.… D.D.D. ***LOCALIDAD.1 Hola, buenas noches. Tened mucho cuidado si va A.A.A. a pediros recetas. Es por su bien. (1 mensaje no leído) E.E.E. ***LOCALIDAD.1 Buenas noches, el joven de Administración y el F.F.F. y el G.G.G. están en conocimiento. A.A.A. llamó solicitando la renovación de la receta que le hizo su Map además solicitó otras más que le prescribieron en un Centro en ***PROVINCIA.1 donde estuvo ingresado ayer, pero puede hablar con la Dra. Del centro para confirmar lo que solicitaba y esta me informó que (…).” (el subrayado es de la AEPD) El anterior mensaje constata que, según se indica, una celadora del centro de salud, que no es personal sanitario, formaría parte del chat “***GRUPO.1” y habría conocido, por tanto, los mensajes de dicho grupo. Además del propio relato de los hechos, un empleado de Administración del Centro de Salud también sería conocedor de los hechos denunciados, a saber: “el joven de Administración y…están en conocimiento”. Es decir, se demostraría que personal sanitario que accedió a la historia clínica del reclamante (...), difundieron datos que solo pueden proceder de la misma “… solicitando la renovación de la receta que le hizo su Map…” Asimismo el reclamante manifiesta que tuvo conocimiento de la existencia de este chat y de lo que se trataba en el mismo, por terceros: “… dicha captura llega al perjudicado a través de terceros que ni tan siquiera formaban parte de dicho chat lo que denota que la información irregularmente obtenida por los accesos ilícitos no solamente se comentó en el grupo de WhatsApp formado por multitud de personas sino que también se divulgó a terceros que no formaban parte de dicho chat...” Sobre la difusión de los datos del reclamante que habrían realizado los profesionales que accedieron a su historia clínica, en el Auto recaído en las Diligencias Previas Nº ***REFERENCIA.1 se recoge: “Esta mismo conclusión es la que considero que cabe alcanzar tras las diligencias practicadas en esta sede penal, hubo accesos al historial del denunciante, pero ni fueron para descubrir secretos ni vulnerar su intimidad, sino que fueron justificados, bien porque se trató de accesos que él permitió, bien porque obraban amparados en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27 el cumplimiento de un deber, para desempeñar sus funciones o tras haber recibido instrucciones de lo que debían hacer cuando este acudía encontrándose de baja al centro de salud (en tal situación no dejaba de ser un paciente) y desde luego que no hay ningún indicio, siquiera mínimo, de que se divulgara cualquier tipo de información sensible referente a su historial médico, pudiendo deberse la percepción del investigado a otros comportamientos que todos han relatado relacionados con (…).” (el subrayado es de la AEPD). Se plantea la duda razonable sobre, si la parte reclamante no formaba parte de este grupo de WhatsApp cómo pudo aportarlo como prueba, y solamente pudo hacerlo porque un tercero se lo comunicó, lo que conllevaría la difusión de su contenido. Distinto es que la Jurisdicción Penal, no considere estos hechos dentro del tipo delictivo de revelación de secretos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones formuladas al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada, se debe señalar lo siguiente: 1.Respecto a la solicitud de suspensión del presente procedimiento por estar en curso las Diligencias Previas ***REFERENCIA.1 ante el ***JUZGADO.1 de ***LOCALIDAD.1, ya se ha reseñado en el Antecedente Noveno, que se dictó Auto de Sobreseimiento de dichas Diligencias, por lo que no cabe acordar la suspensión del procedimiento sancionador al no poderse producir una doble imposición punitiva. Por lo que respecta a la imputación del delito por “Descubrimiento y revelación de secretos”, penado en el artículo 197 del Código Penal., Se reitera que, en el citado Auto, Su Señoría declara: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 “…hubo accesos al historial del denunciante, pero ni fueron para descubrir secretos ni vulnerar su intimidad, sino que fueron justificados, bien porque se trató de accesos que él permitió, bien porque obraban amparados en el cumplimiento de un deber, para desempeñar sus funciones o tras haber recibido instrucciones de lo que debían hacer cuando este acudía encontrándose de baja al centro de salud (en tal situación no dejaba de ser un paciente) y desde luego que no hay ningún indicio, siquiera mínimo, de que se divulgara cualquier tipo de información sensible referente a su historial médico, pudiendo deberse la percepción del investigado a otros comportamientos…” (el subrayado es de la AEPD) El artículo 31.1 Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y respeto a la “concurrencia de sanciones”, señala: “1. No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.” En término generales, el principio “non bis in ídem”, consiste en la prohibición de que un mismo hecho resulte sancionado más de una vez, es decir, supone que no se impongan duplicidad de sanciones en los casos en que se desprenda identidad de sujeto, hecho y fundamento, sin que haya una supremacía especial, como por ejemplo que se sancione a una persona dos veces por los mismos hechos en la jurisdicción administrativa y la penal. Para ello, el mencionado principio se basa en la idea de triple identidad:    Identidad del sujeto: la persona que se ve afectada debe ser la misma en ambos procesos, como es el caso presente. Identidad del hecho: el mismo acto punible debe ser objeto de ambos procesos. No es el caso presente por cuanto, en la Jurisdicción Penal se castiga el descubrimiento y revelación de secretos, en la Administrativa y más concretamente en la Normativa de Protección de Datos, se sanciona el acceso indebido a datos personales. Identidad del fundamento: la base legal o jurídica que sustenta la acusación o sanción debe ser la misma en ambos procesos. Tampoco es el caso presente, la Normativa de aplicación es totalmente distinta: artículo 197 del Código Penal y articulo 5.1.
4. f)en relación con el artículo 9 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), La Sentencia del TS de 3 de noviembre de 2014 contiene doctrina de interés, para saber cuándo es posible un segundo enjuiciamiento (administrativo sancionador) después de un primer enjuiciamiento ya hecho (penal): "Para entender justificada una doble sanción al mismo sujeto por unos mismos hechos no basta simplemente con la dualidad de normas. Es necesario, además, que la normativa que la impone pueda justificarse porque contempla los mismos hechos desde la perspectiva de un interés jurídicamente protegido que no es el mismo que aquel que en la primera sanción se intenta salvaguardar, o, si se quiere, desde la perspectiva de una relación jurídica diferente entre sancionador y sancionado. La existencia de esta relación de sujeción especial tampoco basta por sí misma para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 justificar esa dualidad de sanciones, ya que esa clase de relaciones no son un ámbito en el que los sujetos queden despojados de sus derechos fundamentales.” Pues bien, en el presente caso, no ha habido condena penal, al haberse dictado Auto de sobreseimiento por el ***JUZGADO.1 de ***LOCALIDAD.1 (***PROVINCIA.1). En resumen, no existe en el presente caso vulneración del principio “non bis in ídem” por cuanto no ha habido condena en la Jurisdicción Penal, no hay identidad de hechos (descubrimiento de secretos y vulneración de su intimidad, frente a tratamiento no autorizado o ilícito de datos), ni de fundamento jurídico (Código Penal vs. LOPDGDD). 2. Respecto a que todos los profesionales entraron en la historia clínica del reclamante, en ejercicio de su profesión o cargo y por tanto no se trataba de accesos indebidos, la Ley 41/2002, de 14 de noviembre, Básica Reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en materia de información y documentación clínica, (en adelante LBRAP) en su artículo 16, establece respecto del uso de la Historia Clínica: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia.” Sin embargo, no ha quedado probado que los accesos se realizaran para prestar asistencia sanitaria al reclamante. En ocasiones parece que los profesionales sanitarios atendían presencialmente al reclamante sin necesidad de consultar, revisar o editar su Historia clínica y otras veces, se producían los accesos sin tan siquiera estar presente el reclamante o haber pedido cita previa. Es más, según se desprende del Auto el ***JUZGADO.1 de ***LOCALIDAD.1, dictado en las Diligencias Previas ***REFERENCIA.1, los accesos se produjeron en cumplimiento de la instrucción dada por el coordinador del centro, como medida para prevenir que el reclamante recogiera medicamentos del centro, durante el periodo que duró su incapacidad, y con la finalidad de conocer si cuando el reclamante acudía al centro de salud tenía cita médica o si estaba o no ya dado de alta, lo que no obedece a la finalidad de uso de la historia clínica de proporcionar atención médica a los pacientes. III Contestación a las alegaciones formuladas a la propuesta de resolución En respuesta a las alegaciones presentadas por la entidad reclamada, se debe señalar lo siguiente: Respecto a las alegaciones Primera y Segunda relativas a las diligencias penales seguidas ante el ***JUZGADO.1 de ***LOCALIDAD.1 (Diligencias Previas ***REFERENCIA.1), procede remitirse a lo ya señalado con anterioridad en respuesta a las alegaciones formuladas al acuerdo de inicio. Asimismo, cabe recordar lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/27 señalado por el Tribunal Supremo, Sala Primera, de lo Civil, en su sentencia 383/2025 de 13 Mar. 2025, Rec. 4109/2024: El derecho a la intimidad y el derecho a la protección de datos personales, más vinculado a la privacidad -el concepto de «privacidad» es más amplio que el de «vida privada» y más aún que el de «intimidad»-, son categorías diferentes, aunque relacionadas. Y esa diferencia implica que, en ocasiones, los mismos hechos puedan ser constitutivos de vulneración de uno de esos derechos y no del otro. En la sentencia 292/2000, de 30 de noviembre, el Tribunal Constitucional declaró: «La función del derecho fundamental a la intimidad del art. 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad (por todas STC 144/1999, de 22 de julio, FJ 8). En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado. En fin, el derecho a la intimidad permite excluir ciertos datos de una persona del conocimiento ajeno, por esta razón, y así lo ha dicho este Tribunal (SSTC 134/1999, de 15 de julio, FJ 5; 144/1999, FJ 8; 98/2000, de 10 de abril, FJ 5; 115/2000, de 10 de mayo, FJ 4), es decir, el poder de resguardar su vida privada de una publicidad no querida. El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Esta garantía impone a los poderes públicos la prohibición de que se conviertan en fuentes de esa información sin las debidas garantías; y también el deber de prevenir los riesgos que puedan derivarse del acceso o divulgación indebidas de dicha información. Pero ese poder de disposición sobre los propios datos personales nada vale si el afectado desconoce qué datos son los que se poseen por terceros, quiénes los poseen, y con qué fin. »De ahí la singularidad del derecho a la protección de datos, pues, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de octubre, FJ 4), como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes para o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos constitucionales y sean o no relativos al honor, la ideología, la intimidad personal y familiar a cualquier otro bien constitucionalmente amparado.» De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/27 ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo.». En particular, sobre este extremo, debe reiterarse lo indicado con relación al uso de la Historia Clínica en los términos establecidos en el artículo 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (LBRAP). De conformidad con el citado precepto el acceso a la Historia Clínica debe circunscribirse de forma estricta a fines asistenciales sin que, en el presente caso, haya quedado probado que los accesos se realizaran para prestar asistencia sanitaria al reclamante. Además, la LBRAP tampoco no contempla su uso para evitar conflictos con el paciente como expone en sus contestaciones la parte reclamada. Por lo que respecta al cuestionamiento de la prueba aportada por la parte reclamante en fase de reposición, en particular las capturas de pantalla de una conversación de grupo de WhatsApp de terceros en el que el reclamante no forma parte, procede realizar las siguientes valoraciones. En este caso, resulta relevante abordar la duda razonable sobre cómo la parte reclamante ha podido aportar como prueba una conversación mantenida en un grupo de WhatsApp en el que no figuraba como integrante. Este interrogante sólo puede explicarse en la medida en que el contenido de dicha conversación le fue comunicado por un tercero, lo que conlleva la difusión de su contenido. El indicio razonable de la existencia de esta remisión no ha sido probado en contra por la parte reclamada en la fase de instrucción. En cualquier caso, lo relevante es que la parte reclamante no intervino en la obtención originaria del contenido, sino que accedió a él una vez que éste ya había sido objeto de difusión previa, y lo incorpora al procedimiento para el ejercicio de su derecho de defensa. Por tanto, la eventual difusión ilegítima de las comunicaciones debe atribuirse exclusivamente al tercero que facilitó las capturas de pantalla al reclamante, y no a este último, quien recibe una información que le afecta directamente y la utiliza en un contexto legítimo. Por último, cabe señalar que la alegación de que se han aplicado durante todo este tiempo medidas técnicas y organizativas adecuadas resultan inconsistente cuando se constata una vulneración sistemática del acceso restrictivo a datos sensibles. El principio de responsabilidad proactiva recogido en el artículo 5.2 del RGPD impone a los responsables del tratamiento no solo adoptar formalmente políticas de seguridad, sino garantizar su eficacia en la práctica. IV Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/27 “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. 10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; En este sentido, debe recordarse que la CONSELLERIA, realiza operaciones de tratamiento de datos de salud y es responsable del tratamiento de tales datos personales y, por tanto, determina los fines y medios del tratamiento de dichos datos personales. El artículo 9 del RGPD, en su apartado primero y tercero, establece que: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/27 los Estados miembros o de las normas establecidas por los organismos nacionales competentes.”. Respecto al tratamiento de datos de las historias clínicas, hay que recordar que el mismo se encuentra regulado en la LBRAP, y así su artículo 3 define la Historia clínica como: “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial”. Dicha definición, viene desarrollada en los artículos 14 a 19 de esta misma norma concretándose tanto su contenido, usos y conservación, como el tratamiento y protección que debe recibir, como los derechos relacionados con su custodia y, en particular, el derecho de acceso a la misma. Así, el artículo 16 establece los usos de la Historia clínica: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistencial, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/27 sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” V Artículo 5.1.
5. f)del RGPD El artículo 5.1.
6. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Es importante incidir en el hecho de que nos encontramos ante un dato de salud, el RGPD define en su artículo 4.15 los datos relativos a la salud como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” El Considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/27 fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Tal y como establece la STC 76/2019, de 22 de mayo, "De acuerdo con el apartado 1 del art. 9 RGPD, está prohibido el tratamiento de datos personales que revelen las opiniones políticas, del mismo modo que lo está el tratamiento de datos personales que revelen el origen étnico o racial, las convicciones religiosas o filosóficas o la afiliación sindical y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. No obstante, el apartado 2 del mismo precepto autoriza el tratamiento de todos esos datos cuando concurra alguna de las diez circunstancias allí previstas [letras
8. a)a j)]. Algunas de esas circunstancias tienen un ámbito de aplicación acotado (laboral, social, asociativo, sanitario, judicial, etc.) o responden a una finalidad determinada, por lo que, en sí mismas, delimitan los tratamientos específicos que autorizan como excepción a la regla general. Además, la eficacia habilitante de varios de los supuestos allí previstos está condicionada a que el Derecho de la Unión o el de los Estados miembros los prevean y regulen expresamente en su ámbito de competencias: es el caso de las circunstancias recogidas en las letras a), b), g), h),
9. i)y j)". Como se ha expuesto, el artículo 9.2.
10. h)del RGPD recoge una de estas excepciones al tratamiento de datos de salud “cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.”. En este orden de ideas afirma el TJUE en su sentencia, de 21 de diciembre de 2023, asunto C-667/21, “el artículo 9, apartado 2, letra h), del RGPD debe interpretarse en el sentido de que la excepción contemplada en esta disposición es aplicable a las situaciones en las que un organismo de control médico trate datos relativos a la salud de uno de sus empleados no como empleador, sino como servicio médico, con el fin de evaluar la capacidad laboral de ese trabajador, siempre que el tratamiento en cuestión cumpla los requisitos y observe las garantías que impone expresamente esa letra
11. h)y el apartado 3 de dicho artículo 9. El contenido de estos requisitos se recoge a nivel nacional en la LBRAP cuyo artículo 16, establece cuáles son los usos de la historia clínica, determinando que tienen acceso a la historia clínica del paciente, los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente y, a los efectos de servir como instrumento fundamental para su adecuada asistencia. De esta forma se determina no sólo quién, sino cuándo y para qué. Dicho precepto también determina que el personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. Asimismo, se ha de acudir a la Ley 10/2014, de 29 de diciembre, de Salud de la Comunitat Valenciana que establece en su artículo 41: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/27 “1. Toda persona tiene derecho a que se respete la confidencialidad de los datos referentes a su salud. Nadie que no esté autorizado podrá acceder a ellos si no es al amparo de la legislación vigente” Y por lo que respecta a la historia clínica y a su acceso, el Artículo 46: “1. La historia clínica es el conjunto de la información obtenida en los procesos asistenciales de cada paciente con el fin de conseguir la máxima integración posible de la documentación clínica. La historia clínica, tanto en su formato tradicional en papel como en formato electrónico, tiene como finalidad principal facilitar la asistencia sanitaria e integrar toda información útil que permita conocer el estado actual de salud del paciente, para hacer las intervenciones sanitarias oportunas de forma expresa y motivada. 8. La custodia de las historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. El personal sanitario que desarrolle su actividad de manera individual es responsable de la gestión y de la custodia de la documentación asistencial que genere. 9. Se deberán adoptar todas las medidas técnicas y organizativas necesarias para garantizar el derecho de acceso a la historia clínica, proteger los datos personales recogidos y evitar su destrucción o su pérdida accidental, así como el acceso, alteración, comunicación o cualquier otro tratamiento no autorizado.” Por su parte, el Decreto 56/1988, de 25 de abril, del Consell de la Generalitat Valenciana, por el que se regula la Obligatoriedad de la Historia Clínica, en su artículo 4, señala: “Las Historias Clínicas son documentos confidenciales, propiedad de la institución. La información necesaria estará a disposición del paciente y del personal sanitario que directamente esté implicado en el diagnóstico y tratamiento del enfermo, ante cualquier demanda asistencial de éste. DISPOSICIONADICIONAL La Conselleria de Sanidad y Consumo determinará las medidas a adoptar para la debida conservación y custodia de la documentación clínica de los distintos Centros sanitarios de la Comunidad Valenciana.” Puede decirse, por tanto, que la finalidad asistencial es, con seguridad, la principal y primera causa justificativa del acceso a la historia clínica, por cuanto es “un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente”, y, “los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. Así, la historia clínica aparece como elemento necesario e inherente al tratamiento médico, y el acceso a la misma se configura como un deber del personal sanitario, que está obligado a acceder a dichos datos para prestar su servicio adecuadamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/27 El Informe “Protección de datos personales y secreto profesional en el ámbito de la salud: una propuesta normativa de adaptación al RGDP”, presentado por la Sociedad Española de Salud Pública y Administración Sanitaria en 2017 (en adelante, Informe SESPAS), p. 52, también la tilda de “instrumento necesario”. Así las cosas, el acceso a los datos de la Historia clínica fuera de los casos necesarios para garantizar una asistencia adecuada al paciente o de los expresamente previstos en la ley constituye un acceso no autorizado a la historia clínica del paciente y, por ende, un acceso indebido a esa historia, lo que conlleva una pérdida de confidencialidad de los datos en el sentido del art. 5.1.
12. f)del RGPD. Cuando quien accede a los datos de salud contenidos en la historia clínica no tiene ninguna relación asistencial con el paciente, es decir, cuando personal sanitario o personal administrativo del centro sanitario accede por curiosidad u otra causa no relacionada con la atención asistencial del paciente a la historia clínica de este, aunque sea siguiendo las instrucciones de un coordinador, es indiscutible que se habrá producido una infracción del principio de integridad y confidencialidad. Dado el carácter particularmente vulnerable de los datos de salud, el objetivo principal del Ordenamiento, en cuanto a su protección, debe ser el establecimiento de medidas que impidan que se efectúe cualquier tipo de acceso injustificado a dichos datos, y en este sentido, la normativa de protección de datos busca que el responsable de los mismos, adquiera una responsabilidad “proactiva” (artículo 5.2 RGPD), de manera que, una vez evaluado el riesgo que para los datos personales, puede suponer el tratamiento a realizar, establezca las salvaguardas adecuadas desde el propio diseño del sistema (art. 25 RGPD). Existen importantes mecanismos cuya finalidad es, la de evitar que dicho acceso ilegítimo llegue siquiera a darse. En el presente caso, consta en el expediente que, en el periodo de la relación laboral de la parte reclamante con la CONSELLERIA, entre 16/12/2020 y 30/09/2021 se han realizado 195 accesos por parte de 50 personas distintas, lo que se considera desproporcionado. Muchos de dichos accesos no se encontrarían justificados por ningún proceso asistencial de la parte reclamante, como prueba el documento ACCESOS y se desprende del Auto del ***JUZGADO.1 de ***LOCALIDAD.1, dictado en las Diligencias Previas ***REFERENCIA.1, en el que consta que “los accesos se produjeron en cumplimiento de la instrucción dada por el coordinador del centro, como medida para prevenir que el reclamante recogiera medicamentos del centro, durante el periodo que duró su incapacidad, y con la finalidad de conocer si cuando el reclamante acudía al centro de salud tenía cita médica o si estaba o no ya dado de alta, lo que no obedece a la finalidad de uso de la historia clínica de proporcionar atención médica a los pacientes”, ni se habrían llevado a cabo en el ejercicio de la profesión o cargo de los profesionales sanitarios, que accedieron a la misma, por cuanto se llegó a revisar, o editar la historia del reclamante, sin su presencia física en el Centro de Salud de ***LOCALIDAD.1 (***PROVINCIA.1). La CONSELLERIA llega a decir que los accesos a la historia clínica del reclamante, todos los accesos sin distinción alguna, ni siquiera los realizados por el propio reclamante a su propia historia clínica, se producen para la protección del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/27 Hay que destacar, sin embargo, que no resulta justificado el acceso a la historia clínica para conocer si el reclamante tenía una cita médica, o estaba de baja por Incapacidad Temporal (IT), la consulta de bajas por IT se realizaría a través del Departamento de Recursos Humanos de la CONSELLERIA, por quien esté autorizado para ello y no por cualquier profesional sanitario del Centro de Salud de ***LOCALIDAD.1. Asimismo, constan en el expediente diversas capturas de la aplicación WhatsApp discutiendo los hechos objeto de reclamación, en las que se discuten elementos de la historia clínica de la parte reclamante en un grupo de WhatsApp, entre otros extremos. Dicho grupo de WhatsApp está formado por personal médico y al menos un celador como ya se ha visto en el Hecho probado cuarto y se habría dado cuenta de los hechos también a personal de Administración. Dichos accesos no autorizados a la historia clínica de la parte reclamante, suponen una evidente pérdida de confidencialidad, al haberse accedido a los datos personales que figuran en la historia clínica de la parte reclamante por personal sanitario fuera del ámbito de diagnóstico o tratamiento. Es evidente que las instrucciones dada por la CONSELLERIA constituyen una medida inadecuada, para garantizar la confidencialidad de los datos personales de los pacientes, en los términos dispuestos en el art. 5.1.
13. f)del RGPD. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción imputable a la CONSELLERIA, por vulneración del artículo 5.1
14. f)del RGPD, dado que no resulta justificado el acceso a los datos personales que aparecen en la historia clínica para conocer si el reclamante tenía una cita médica o estaba de baja como se desprende de las manifestaciones de la parte reclamada. VI Tipificación de la infracción del artículo 5.1.
15. f)del RGPD y calificación a efectos de prescripción La infracción del artículo 5.1.
16. f)del RGPD se encuentra tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/27 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
18. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Sanción por la infracción del artículo 5.1.
19. f)del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: ...
20. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/27 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 5.1.
21. f)del RGPD tipificada en el artículo 83.5.
22. a)del RGPD. La sanción que corresponde imponer es la declaración de infracción. VIII Medidas correctivas El citado artículo 77 de la LOPDGDD contempla que la resolución puede establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en artículos 30 y 13 del RGPD, debiendo además aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. En el presente acto, de acuerdo con la infracción cometida y los hechos puestos de manifiesto, dichas medidas consisten en que, en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, la CONSELLERIA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/27  Acredite el establecimiento de las medidas técnicas y organizativas precisas para garantizar la confidencialidad de las historias clínicas de los pacientes, impidiendo que se produzcan situaciones similares en el futuro. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSELLERIA DE SANIDAD DE LA GENERALITAT VALENCIANA, con NIF S4611001A, ha infringido lo dispuesto en el artículo 5.1.
23. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: ORDENAR a la CONSELLERIA DE SANIDAD DE LA GENERALITAT VALENCIANA, con NIF S4611001A, que en virtud del artículo 58.2.
24. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva,  Acredite el establecimiento de las medidas técnicas y organizativas precisas para garantizar la confidencialidad de las historias clínicas de los pacientes, impidiendo que se produzcan situaciones similares en el futuro. TERCERO: NOTIFICAR la presente resolución a la CONSELLERIA DE SANIDAD DE LA GENERALITAT VALENCIANA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/27 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es