PS-00250-2021

1/14  Procedimiento Nº: PS/00250/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de reclamación de A.A.A. (en adelante, el reclamante), en el que manifiesta que se han producido accesos indebidos a su historia clínica por parte de una trabajadora del Servicio Extremeño de Salud (en adelante SES), con categoría profesional de enfermera. Los accesos se realizan sin la autorización del reclamante y sin que medie una relación que lo justifique. El reclamante añade que los accesos indebidos están perfectamente identificados en el Certificado de accesos al historial clínico, emitido el 14/08/2020 por la Gerencia del Área de Salud de Badajoz del Servicio Extremeño de Salud (SES) en contestación del oficio librado por el Juzgado de Instrucción nº 2 de Badajoz, en el que constan 5 accesos producidos entre el 02/10/2007 al 15/07/

1. Indica que faltan más accesos indebidos, que están pendientes de obtención por el Juzgado. Documentación relevante aportada por el reclamante: -Autos emitidos por el Juzgado de instrucción nº 2 de Badajoz admitiendo a trámite querella por revelación de secretos y acordando práctica de pruebas. -Certificado de accesos al historial clínico obrante en el sistema de información del SES del reclamante de fecha 14/08/
2. SEGUNDO: A la vista de los hechos notificados y de los documentos aportados por el SES, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos descritos en los apartados anteriores, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha en la que tuvieron lugar los hechos reclamados: 15 de julio de 2019 Fecha de entrada de la reclamación: 13 de octubre de 2020 Reclamante: A.A.A. (el reclamante) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Reclamado: SERVICIO EXTREMEÑO DE SALUD (SES) ENTIDADES INVESTIGADAS SERVICIO EXTREMEÑO DE SALUD, con NIF S0611001I, y con domicilio en Avda. de las Américas 2, 06800 Mérida, Badajoz. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 12/11/2020 se trasladó la reclamación al SES en el marco de las actuaciones de referencia E/9118/
3. El documento de traslado fue recogido el día 23/11/2020 según su acuse de recibo. Pasado el plazo concedido, el día 10/02/2021 se dicta resolución admitiendo la reclamación e instando las presentes actuaciones de inspección. Con fecha 16/02/2021 se requirió información y documentación sobre los hechos al SES, no habiendo recibido respuesta a la fecha de realización del presente informe. El requerimiento fue recogido el día 22/02/2021, según acuse de recibo. Se adjunta al requerimiento efectuado el documento de traslado de la reclamación emitido anteriormente, indicando que no consta contestación al mismo. En el requerimiento realizado se solicitaba la siguiente información al SES: 1.- Copia del informe elaborado y documentación acreditativa en relación con los hechos, que contendrá los siguientes aspectos: 1–
4. Especificación detallada de las causas que han hecho posible los hechos. 1–
5. Descripción detallada de las acciones tomadas con objeto de minimizar los efectos adversos y para la resolución final del incidente, indicando fecha y hora de las medidas adoptadas. 1-
6. Medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 2.- Respecto de la seguridad de los tratamientos de datos personales con anterioridad a los hechos: 2-
7. Documentación acreditativa del Análisis de Riesgo que ha conllevado la implantación de las medidas de seguridad y copia de las Evaluaciones de Impacto, en su caso. 2-
8. Detallar aquellas medidas técnicas y organizativas adoptadas para garantizar un nivel de seguridad adecuado a los riesgos detectados con relación a los accesos por el personal sanitario a los historiales clínicos de los pacientes. Política de seguridad adoptada por la entidad con relación a ello. No obstante, con fecha 05/04/2021 se recibe contestación del SES al traslado realizado el 12/11/2020 en el marco de las actuaciones de referencia E/09118/2020, en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 “I. SOBRE LOS ANTECEDENTES Solicita el citado escrito a esta Administración Pública que se pronuncie respecto de una reclamación recibida por parte del ciudadano -el reclamante- en fecha 13 de octubre de
9. En dicha comunicación se solicita:  La decisión adoptada a propósito de esta reclamación.  En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante.  Informe sobre las causas que han motivado la incidencia que ha originado la reclamación.  Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia.  Cualquier otra que considere relevante.  En este sentido, el presente documento da cumplimiento a dicha solicitud, aportando en el Anexo 1 las comunicaciones con el reclamante y, en el resto de apartados de este documento, la información solicitada por la AEPD. II. SOBRE LOS CONTROLES DE ACCESO YA ESTABLECIDOS EN EL SERVICIO EXTREMEÑO DE SALUD El Servicio Extremeño de Salud (en adelante, SES) es un organismo autónomo de carácter administrativo, dependiente de la Consejería de Sanidad y Dependencia de la Junta de Extremadura que tiene encomendado ejercer las competencias de administración y gestión de servicios, prestaciones y programas sanitarios que rige su funcionamiento por las normativas nacional y autonómica que le son de aplicación. En este sentido, la Ley de la Comunidad Autónoma de Extremadura 3/2005, de 8 de julio, de información sanitaria y autonomía del paciente regula en su artículo 35.3 el derecho del paciente tanto de acceso y obtención de copias o certificados de los documentos que obran en su historia clínica, como de “conocer en todo caso quién ha accedido a sus datos sanitarios, el motivo del acceso y el uso que se ha hecho de ellos”. Pues bien, sobre el ejercicio de este derecho, que se ha solicitado por parte del reclamante, no se puede colegir de la documentación aportada que haya existido incumplimiento alguno por parte de esta Administración pues, a la vista está que esta información obra en manos del denunciante. Traducido este derecho al sistema de información que soporta la información clínica de los pacientes en el Servicio Extremeño de Salud, debe apuntarse que la ejecución efectiva de este derecho a conocer quién y para qué se accede a la Historia Clínica, se traduce en la necesaria existencia de una relación que legitime el acceso del profesional sanitario a una determinada Historia Clínica. Por este motivo, al acceder al Historial de un paciente que se está tratando en ese momento en el puesto de trabajo clínico (sea Hospitalización, Consultas Externas, Pruebas Funcionales, Hospital de Día, Quirófano…), el sistema informático entiende de forma automática que el motivo de acceso es Asistencial, y así se refleja en dicho sistema. No obstante, este no es un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 proceso automático, sino que el sistema sólo permite el acceso a historiales de pacientes que, bien están bajo un tratamiento activo, bien están citados en la agenda del profesional o, bien pertenecen a los pacientes que tiene asignados en su cupo. Cuando se accede al Historial médico mediante la búsqueda de un paciente (no seleccionándolo directamente de un listado de trabajo), el sistema obliga a elegir un motivo de acceso de entre los que están configurados para cada perfil. En este sentido, a un facultativo de Atención Especializada le aparecerán los siguientes:  El motivo Gestión de Paciente se selecciona cuando el acceso al Historial se relaciona con una acción que se va a realizar sobre un paciente que no se encuentra en el Puesto de Trabajo Clínico en ese momento, tal como consulta o revisión de documentación, realización de informes, preparación previa de consulta o intervención quirúrgica, revisión de órdenes clínicas y citaciones…  El motivo Estudio de Investigación se selecciona, como su propio nombre indica, cuando el acceso al Historial médico se relaciona con trabajos de investigación en los que está incluido ese paciente.  El motivo Solicitud DCL se usará cuando el acceso al Historial se realice para dar respuesta a una Solicitud de Documentación Clínica procedente del propio paciente o de alguna persona autorizada.  El motivo Incapacidad Laboral sólo lo tienen disponible perfiles de Inspección y lo seleccionarán cuando el acceso al Historial esté relacionado con un problema laboral del paciente.  El Acceso SOLO a la Agenda del Paciente no es un motivo de acceso al Historial; es la denominación con la que queda identificado el acceso a la Agenda en el log de registros de accesos a la Agenda del paciente. No obstante, aunque se haya establecido este filtro de acceso, ello no implica que el acceso sea total, puesto que cada uno de los motivos que legitimaría el acceso y que acaban de exponerse no implica el acceso sin restricciones a la información clínica. Por ello, cada uno de los accesos va acompañado de restricciones de acceso, puesto que no tendría sentido un acceso total a información sanitaria cuando el motivo que justifica el acceso es un motivo administrativo. De esta manera, la normativa sanitaria pública extremeña por la que se rige el SES, es una normativa que ofrece mayores derechos a los ciudadanos respecto de su información clínica; ello con el reconocimiento del derecho a conocer quién ha accedido a su información sanitaria. El ejercicio de este derecho, así como la garantía de la confidencialidad de la información sanitaria tratada en el SES se hace efectiva mediante los controles de acceso a la información clínica. Cabe colegir por tanto que, los accesos a que se refiere el denunciante se dieron cumpliéndose los requisitos de legitimidad de acceso que de desprenden de las obligaciones de la normativa de protección de datos y de las propias impuestas de manera interna desde el Servicio Extremeño de Salud. Así, en el Hecho SEGUNDO que se usa como argumento, debe desecharse la idea de que, como se apunta, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 acceso se hizo prevaliéndose de su “categoría profesional de enfermera”, puesto que, de no darse las situaciones descritas en este apartado, el acceso no hubiera sido posible. Por tanto, no cabe entender como válido el argumento utilizado de que se produjo un acceso “sin que mediara entre ellos una relación asistencial de enfermero/paciente” dado que el sistema solicita para el acceso a información clínica la existencia de un motivo que legitime el acceso. Asimismo, deben desecharse también los argumentos descritos en el Hecho TERCERO, donde se apuntan los accesos realizados por la Señora B.B.B., ya que todos los accesos a la información debieron y, así lo fueron, motivados por alguno de los escenarios previstos y detallados con anterioridad. III. SOBRE EL FORO No procura esta parte poner en cuestión la autoridad de la AEPD, ni las informaciones aportadas por el denunciante; no obstante, el SES en su responsabilidad no estima oportuno atender denuncias o solicitudes que no partan de una base sólida. En este sentido, el Hecho PRIMERO del escrito presentado por el denunciante hace referencia a hechos que, bien deben entenderse como subjetivos o, al menos, difícilmente objetivables, tales como el ejercicio de “un estricto control sobre la vida y la persona” que no permitió al denunciante “desarrollar una vida normal y rehacer su vida sentimental”. Al no tratarse de información objetivable, el SES estima que no debe pronunciarse en este sentido y que, más bien, corresponde a otro ámbito, concretamente a los órganos judiciales, establecer si los hechos son como se denuncian. Entiéndase, entonces, que existe un ánimo de esta Administración de colaborar, en tanto en cuanto le sea posible, pero que se entiende que los hechos denunciados bien tienen que ver con acciones u omisiones tipificadas en el Código Penal sobre las que el SES no pude hacer otra cosa más que colaborar con los órganos judiciales que las diriman. Definida la legitimidad de los accesos a la información de un paciente (el denunciante) por parte de una trabajadora del sistema sanitario público (la denunciada), dado que sin la existencia de dicha legitimidad el acceso sería técnicamente imposible, el SES entiende que la situación denunciada debe esperarse a que tenga la condición de Hecho Probado (entendido éste como el relato de sucesos objeto de enjuiciamiento que el órgano judicial ha considerado ciertos). Ello, porque además se entiende que los hechos denunciados no se corresponden con un incumplimiento de la normativa de protección de datos del SES como Responsable del Tratamiento si no, más bien como un delito (que bien podría tipificarse de revelación de secretos) cometido por una persona, eso sí, trabajadora del SES, en un ámbito privado en el que el SES como empleador no tiene alcance. Si, mediando una sentencia que establezca los hechos denunciados como hechos probados, teniendo el SES conocimiento de los mismos, se emprenderán las medidas internas oportunas basándonos en el Régimen interno tal como se describe en los avisos legales de los inicios de sesión de los usuarios del sistema de información. Hasta ese momento, entiende el SES que debe archivarse el presente procedimiento y, caso de producirse sentencia favorable al denunciado comunicárselo al SES para que se establezcan las sanciones internas que correspondan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 IV. SOBRE EL CUMPLIMIENTO DE LAS OBLIGACIONES DEL SES COMO RESPONSABLE DEL TRATAMIENTO Por otra parte, respecto de las obligaciones del Servicio Extremeño de Salud, como responsable del tratamiento, y coordinadamente con lo expuesto en el inicio de la alegación Segunda (II), el SES ha venido cumpliendo sus obligaciones como responsable del Tratamiento respecto de las solicitudes hechas por el denunciante. Se apuntaba en la citada alegación la existencia, fruto del desarrollo legislativo extremeño de un derecho a “conocer quien accede a la información clínica” y, vista la información aportada por el denunciante, cabe entender que el SES ha cumplido dichas obligaciones. Cuestión distinta es, si el denunciante entiende que la persona denunciada ha incumplido sus obligaciones de confidencialidad y, de ser así, una vez se muestre como hecho probado, podrá dirigirse al SES para que se tomen las medidas oportunas. V. SOBRE LAS MEDIDAS YA APLICADAS POR EL SES Previo a tener conocimiento de la denuncia que se traslada, el SES, en el ámbito de su responsabilidad proactiva ya había tomado medidas que garantizan la confidencialidad de la información.