← España

PS-00287-2018

1/25 Procedimiento Nº PS/00287/2018 RESOLUCIÓN: R/01745/2018 En el procedimiento sancionador PS/00287/2018, instruido por la Agencia Española de Protección de Datos a la entidad HOSPITAL POVISA, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11/12/2017 y 11/01/2018, se recibieron en esta Agencia Española de Protección de Datos escritos remitidos por A.A.A., en los que expone: Encontrándose en situación de baja laboral, acudió el 24/03/2017 a la MUTUA UNIVERSAL MUGENAT para control de su situación, siendo informada que la Inspección médica del SERGAS les había informado que ella tenía una consulta con un traumatólogo, la cual correspondía a una consulta con un médico bajo aseguramiento con la compañía privada CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER), donde ella es asegurada, siendo la cita en el HOSPITAL POVISA. Ese mismo día, acudió a su médico de cabecera, al cual le explicó lo ocurrido. Este le informó que desde el SERGAS tenían acceso a toda su información correspondiente a POVISA y, por tanto, a todo su historial relacionado con las visitas y pruebas realizadas a través de CASER. Con fecha 19/03/2018, en contestación a requerimiento de información complementaria, la denunciante adjuntó: -En un soporte físico USB, copia del archivo sonoro de una conversación mantenida con el médico de la MUTUA, en la que le pide si le puede entregar la impresión de lo que el mismo visualizó hace como quince días, sobre el acceso que personal del SERGAS efectuó a su historia clínica realizada bajo el seguro privado de CASER, y el médico le comenta que él no se lo puede entregar por ser un comunicado interno entre la Seguridad Social y la MUTUA. La denunciante indica que ha puesto una reclamación ante la Seguridad Social por dichos hechos. -La denunciante aporta copia de un informe del Hospital Universitario de Vigo (Servicio Gallego de Salud, figurando su número de Seguridad social del Régimen General) de 27/02/2018 para acreditar que es posible el acceso desde sus sistemas a la historia clínica de POVISA en régimen de seguro CASER, pues en observaciones consta: ““Todos los datos de POVISA los obtengo con aceptación por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 parte de la paciente, ya que según ella son de seguro privado y no entiende como están abiertos a la Seguridad Social”. En el relato del curso clínico figura información sobre la atención que se ha prestado en la clínica POVISA sobre fechas, por ejemplo 1/02/2018 pruebas de 12/2016 RM y diciembre 2017. Anexa, entre otra, la siguiente documentación:  Copia de su contrato con CASER como póliza privada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha tenido conocimiento de lo siguiente: 1) Con fecha 1/03/2018 se solicitó diversa documentación a HOSPITAL POVISA que con fecha 14/03/2018, manifestó y aportó: 1.1 Aporta copia del concierto con SERGAS. 1.2 Aporta una relación de las Mutuas de accidentes de trabajo con las que tiene concertada la prestación de servicios de asistencia sanitaria, figurando entre ellas MUTUA UNIVERSAL MUGENAT. Aporta copia de concierto formalizado don dicha entidad. 1.3 En cuanto a la relación de POVISA con los profesionales que prestan servicios en las aseguradoras, es profesional y prestan servicios para dichas aseguradoras o Mutuas, sin tener ninguna relación con POVISA. 2) Con fecha 5/04/2018, se realizó visita de inspección al Hospital POVISA, poniéndose de manifiesto los siguientes hechos: 2.1 POVISA es una entidad privada, que presta servicios sanitarios a distintas entidades, como: aseguradoras privadas, Mutuas y al SERGAS, con los que tiene suscritos los correspondientes documentos contractuales. El personal sanitario, en concreto, los profesionales médicos, prestan sus servicios con dedicación exclusiva para POVISA, por lo que no son trabajadores de otras empresas ni de aseguradoras. Los datos personales y, en particular, la historia clínica de todos los pacientes a los que presta asistencia sanitaria POVISA se incluyen en su “sistema de información” cuyo responsable es POVISA. Cuando un paciente solicita los servicios médicos de POVISA, debe informar del sistema de asistencia por el que acude (Mutua, aseguradoras privadas o SERGAS). La Inspección médica del SERGAS tiene acceso a toda la información obrante en los Sistemas de POVISA, incluidas las citaciones y las incidencias en las mismas. 2.2 En la Comunidad Autónoma de Galicia, la historia clínica única, además de regirse por la normativa vigente básica, se encuentra también regulada mediante Real Decreto 29/2009, de 5/02, de la Consejería de Sanidad, que regula el uso y acceso a la historia clínica electrónica única. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 2.3 POVISA presta servicios de asistencia sanitaria a diferentes aseguradoras privadas, entre las que se encuentra CASER, mediante contrato de fecha de marzo de 2006, en el que figura, en su apartado II, que la finalidad es la prestación, por parte de POVISA, de los servicios propios de su actividad. A los efectos de dicho contrato se entiende por asegurado cualquier persona beneficiaria de la póliza individual o amparada por una póliza colectiva concertada con CASER. La historia clínica de los pacientes de CASER que son atendidos por profesionales de POVISA, incluida la prestada en régimen de seguro privado, es incorporada a la Historia clínica única, ubicado en el propio Hospital a la cual solo pueden tener acceso, profesionales de POVISA, debidamente autorizados y profesionales del SERGAS. En ningún caso, CASER tiene acceso a dicha información. Cuando un asegurado de CASER acude a utilizar los servicios médicos de POVISA, desde el Hospital se remite un Informe asistencial a la Dirección médica de CASER, a efectos de facturación. Cuando un asegurado de CASER, o de otra aseguradora, acude a POVISA para asistencia médica, debe suscribir un documento denominado consentimiento personal informado, en el que el asegurado autoriza a POVISA a la comunicación de información a CASER, a efectos del pago de los servicios. 2.4 Con relación al concierto con el SERGAS, con fecha 29/09/2014 se adjudicó la contratación para la prestación de Servicios de asistencia sanitaria especializada a los beneficiarios de la Seguridad Social protegidos por el mismo. El objeto de dicho concierto es la prestación de asistencia sanitaria especializada a población beneficiaria del SERGAS, asignadas a los Centros de Salud del área asignada y aquellos otros que la administración determine. Entre las condiciones del concierto, figuran:  POVISA, se ocupará de que sus profesionales registren toda actividad realizada a los usuarios adscritos a POVISA, para que puedan ser consultada por todos los profesionales médicos del SERGAS, a través de la PLATAFORMA IANUS titularidad del SERGAS, que integra un sistema de información único para la documentación clínica, generada por los diferentes niveles de prestación.  Cumplimentar los correspondientes Informes para que los profesionales de Atención Primaria extiendan, en su caso, los correspondientes partes de enfermedad o accidente (…). Colaborar con los profesionales de Atención Primaria y con los servicios de Inspección Sanitaria, para la comprobación de patologías.  POVISA, debe cumplir y hacer cumplir a los profesionales de centros y servicios sanitarios todos los requisitos establecidos en la LOPD y su normativa de desarrollo, en relación con la información y documentación sanitaria relativa a los beneficiarios del SERGAS, así como salvaguarda del ejercicio de los derechos recogido en la Ley General de Sanidad y en la Ley de Salud de Galicia para el SERGAS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25  POVISA cumplirá con las políticas de seguridad del Servicio Gallego de Salud con relación al acceso y confidencialidad y seguridad de la Historia clínica electrónica. En todos los casos POVISA cumplirá con los preceptos legales en materia de protección de datos y la salvaguarda de los derechos de los pacientes.  POVISA adoptará las medidas oportunas para la integración del registro de pacientes y la actividad asistencial de los mismos del SERGAS en el sistema de información de gestión de pacientes corporativo del SERGAS.  POVISA requerirá a los profesionales la utilización de la Historia Clínica Electrónica de IANUS, en base a los criterios establecidos por el SERGAS. 2.5 Desde el año 2015 hasta la actualidad, POVISA presta servicio de asistencia sanitaria a diferentes Mutuas, entre las que se encuentra MUTUA UNIVERSAL-MUGENAT, Mutua Colaboradora con la Seguridad Social, núm. 10 (en adelante Mutua Universal), mediante los correspondientes conciertos. El objeto social de dicho contrato es la prestación de servicios hospitalarios-sanatoriales, por parte de POVISA y la infraestructura necesaria para ello. Dichos servicios deberán dar cobertura, tanto a las personas del colectivo de trabajadores por cuenta propia, como a los de cuenta ajena que tengan contratada la contingencia con Mutua Universal. POVISA deberá implantar las medidas de índole técnica y organizativas necesarias para garantizar la seguridad en sus sistemas de tratamiento automatizado y no automatizado, para los sistemas que alberguen dichos datos y las medidas de seguridad correspondientes de acuerdo con el Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica. POVISA tendrá acceso a datos de carácter personal cuya propiedad será exclusiva de MUTUA UNIVERSAL, sin que el mismo pueda aplicarlo o utilizarlos para fin distinto al recogido en el contrato. 3 Mediante acceso a los Sistemas informáticos de POVISA se verifican los siguientes aspectos relacionados con la denuncia sobre la historia clínica de la denunciante, realizándose las siguientes comprobaciones, con un perfil de médico de POVISA: 3.1 Se verifica que para acceder al sistema es necesario facilitar un código de usuario y una contraseña. 3.2 Se realiza una consulta mediante el criterio nombre y apellidos: A.A.A., verificándose, entre otros, que desde el 30/12/2016 hasta el 22/02/2018 constan 15 citaciones en diferentes consultas, todas ellas a través de la Cuenta CASER. Así mismo se verifica que, al menos desde mayo del 2011, acude a este centro sanitario como asegurado de CASER. Así mismo se verifica en doc. 4 que le figura una cita con traumatología concertada el día 4/03/2017 y fecha real/anulación 13/03/2017, Dra. B.B.B., de la cuenta de CASER. Según manifiesta la representante de POVISA la citada información consta en los sistemas de POVISA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 3.3 Se verifica que accediendo a través de la Plataforma IANUS se tiene acceso a toda la Historia clínica de la paciente, tanto la que figura en los sistemas informáticos de POVISA como del SERGAS. 4 Se realizan comprobaciones mediante el criterio A.A.A., con un perfil de médico de SERGAS a través de la Plataforma IANUS, verificándose que se accede a la Historia clínica completa del paciente, tanto a la existente en los sistemas de POVISA como del SERGAS. Se verifica que desde el SERGAS no se tiene acceso a las citaciones anuladas en POVISA. No obstante, la representante de POVISA manifiesta que la Inspección médica del SERGAS si tiene acceso a toda la información. Se verifica, también, que, en el Centro de Salud de Atención Primaria de Porriño, se han escaneado diferentes informes presentados por la titular de estos, incorporándolos a la Historia clínica, entre ellos varios de POVISA. Así mismo se verifica que con fecha 29/03/2017, el médico de Atención Primaria ha hecho una anotación sobre una queja de la paciente con relación a una información que le ha dado la Mutua sobre la anulación de la cita en el traumatólogo al que acudió a través de CASER, en POVISA. 5 Se realiza una consulta en el sistema de información de POVISA con perfil de médico de POVISA de todos los actos asistenciales asociados a la Sra. A.A.A., verificándose que todos ellos han sido realizados mediante la cuenta de CASER. TERCERO: Durante la Inspección realizada el 6/04/2018 en los locales de MUTUA UNIVERSAL, se puso de manifiesto que:  Como entidad colaboradora con la Seguridad Social, se encarga, entre otros, del seguimiento de las bajas médicas de los trabajadores que tengan contratada la contingencia con ellos y se rige por la normativa específica al respecto.  Cuando un trabajador protegido por MUTUA UNIVERSAL, (mediante contrato de contingencias por parte de su empresa), se encuentra en situación de “baja médica” la Seguridad Social remite vía telemática a MUTUA UNIVERSAL el parte de baja y los datos de contacto del mutualista (teléfono y domicilio), con la finalidad de poder contactar con el trabajador para hacer el seguimiento de la baja, en base al acuerdo de colaboración con la Seguridad Social. Así mismo, con objeto de verificar que el trabajador pertenece al ámbito de protección de Mutua Universal, tienen acceso a los datos de afiliación a través de la Gerencia de Informática de la Seguridad Social.  La información que consta en la historia clínica de los pacientes que llegan a MUTUA UNIVERSAL, es la aportada por el propio trabajador, el cual puede entregar pruebas e informes de los Centros donde le estén tratando, pero esto es voluntario. No obstante, en los casos en que, durante el seguimiento de la baja, MUTUA UNIVERSAL considere oportuno, puede solicitar información a la Inspección de Servicio sanitarios del SERGAS o al INSS en el caso de que el trabajador lleve más de 12 meses de baja médica. Dicha información siempre se solicita y se recibe la contestación mediante correo postal. Asimismo, puede realizar pruebas complementarias a los trabajadores, cuando estime oportuno, pero siempre con autorización de la Inspección y el consentimiento del asegurado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25  MUTUA UNIVERSAL no tiene acceso, en ningún caso, a los sistemas de información del Servicio Gallego de Salud ni de las Aseguradoras privadas.  Mediante el acceso al fichero de historias clínicas que gestiona MUTUA UNIVERSAL, se verifica que: - Es necesario para entrar al sistema un usuario y una contraseña. En este caso el perfil con el que se accede es el de Coordinador médico. - Se accede al “Portal del Empleado” donde aparece el icono denominado “APLICACIONES MUTUA”, y dentro de éste a la opción: “Médico Territorio/Estación de trabajo clínico. Se realiza una búsqueda mediante el criterio: “A.A.A.”, verificándose que constan diversos episodios, durante el periodo comprendido entre el año 2012 hasta el 2018. Se realiza una consulta mediante el criterio: Número de episodio ***XXX, verificándose, entre otra que constan las siguientes actuaciones:  La primera actuación desde la MUTUA UNIVERSAL fue una llamada telefónica el día 2/01/2017, en el que la trabajadora comunica al interlocutor, que al día siguiente tiene una cita con el reumatólogo.  En el documento “curso clínico”, figura: “El 11/01/2017, viene a primera consulta, figurando en el comentario “Sin cita en el especialista en el SPS”.  Con fecha 2/03/2017, figura “se gestiona cita”. El 13/03/2017 consta: “respuesta INSS Fundamentan su prop de alta en una exploración física de hace dos meses en la que indican que hay cojera evidente y dificultad para sedestación, además de molestias a la lateralización y flexión de tronco, datos relevantes para su actividad dado que es especialista en contabilidad. Alegan que solo está a tto con…” La asegurada tiene cita con cot el 15/03 dado que la valoración clínica es patológica y no actualizada, y teniendo en cuenta los datos recibidos …procede esperar la valoración por cot el 15/03”. Anotación de 24/03/2017 “La paciente refiere que a ella no le han notificado ni tenía ninguna cita con COT por el SPS el 15/03/2017. Realizado nueva PA ya que los datos de la IM son incorrectos y no había pautada ninguna evaluación por especialista”, “La paciente notifica que la cita con COT era por privado en POVISA que gestionó por privado en POVISA que gestionó con un familiar y no por el SPS”  MUTUA UNIVERSAL realiza una Propuesta de Alta ante la Inspección médica de los Servicios Sanitarios de la Consejería de Sanidad, fecha firma 2/03/2017, entrada en Inspección 6/03/2017 figurando como fecha de baja médica 21/12/2016, empresa para la que presta servicios la paciente: IRAGO EXCLUSIVAS Y DISTRIBUCIONES SA. Consta la anotación “Cita con COT para diciembre 2017, fecha para la cual ya habría cumplido un año de IT. “En fecha 27/01/2017 se realiza gestión de adelanto de cita con COT la cual a fecha actual no ha sido respondida”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25  Asimismo, consta un documento “comunicación propuesta de alta a la Inspección Medido del SERGAS” de la denunciante, fechado el 23/02/2017 en el que consta “la paciente rehúsa firmar”  Copia de escrito con sello entrada en Mutua UNIVERSAL 13/03/2017, de la Inspección de la Consejería de Sanidad, Servicio de Inspección sanitaria en el que indican textualmente. ASUNTO: resolución propuesta de alta, fecha de la propuesta 6/03/2017 “La asegurada tiene cita con COT el 15 de marzo…Esperar la valoración por el COT el 15 de marzo.”  Con fecha 24/03/2017, la asegurada vuelve a tener cita en MUTUA UNIVERSAL, en el transcurso de la cual, la paciente comunica al médico de Mutua, que la cita con el COT era por privado en POVISA. Los representantes de MUTUA UNIVERSAL manifiestan que en la anotación correspondiente al día 13/03/2017, en la que se indica “Respuesta INSS”, debería constar “Respuesta de la Inspección de Servicios Sanitarios” Se accede al expediente en papel correspondiente a Dña. A.A.A., verificándose la existencia de diferentes documentos, entre los que se encuentran: - Informe Propuesta Clínico-Laboral, el cual se adjunta con la COMUNICACIÓN PROPUESTA DE ALTA A LA INSPECCIÓN MEDICA DEL SERVICIO PUBLICO DE SALUD (SERGAS). - Escrito de contestación desde la Inspección médica a Mutua Universal, de fecha 7 de marzo de 2017, en el que consta la siguiente información: la asegurada tiene cita con traumatología de POVISA el día 15.03.17. CUARTO: Con fecha 24/04/2018, tiene entrada en esta Agencia un escrito de CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER), en la que se pone de manifiesto que: Esa Aseguradora no tiene conocimiento alguno de cesiones que puedan existir entre el Hospital POVISA y el Servicio Gallego de Salud, relativas a historias clínicas de los asegurados de Caser, ya que su relación es completamente ajena a esa aseguradora. No existe anexo que actualice el contrato de Prestación de Servicios suscrito entre POVISA y CASER en fecha 29/03/2006. No se ha realizado las actuaciones de auditoria tendentes a verificar si POVISA cumple las garantías establecidas en la LOPD y su Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); por los motivos que se expresan a continuación:  Con independencia del contenido del contrato referido en el apartado 2º), en el que el HOSPITAL POVISA asume condición de encargado del tratamiento del fichero de CASER, la realidad jurídica es que nos encontramos con dos responsables del tratamiento. Tal y como dice la Agencia Española de Protección de Datos, los centros médicos no pueden ser encargados del tratamiento. El núcleo del razonamiento de la AEPD reside en las obligaciones que los centros sanitarios tienen que asumir de conformidad con la Ley 41/2002, de Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación clínica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 incompatibles con las obligaciones que les corresponden como encargados del tratamiento.  Tal como se establece en el artículo 99.2.

  1. b)de la Ley 20/2015, de 14 de julio, de ordenación, supervisión, y solvencia de las entidades aseguradoras y reaseguradoras, Caser se encuentra legitimada, podrán tratar sin el consentimiento de sus asegurados, los datos relacionados con su salud para el adecuado abono a los prestadores sanitarios.  Caser se limita a recabar del Hospital Povisa, los datos imprescindibles para el abono de la asistencia prestada por dicho centro sanitario, a favor de sus asegurados, sin acceder a la historia clínica de sus clientes. QUINTO: Con fecha 5/07/2018 la directora de la AEPD acordó iniciar procedimiento sancionador a HOSPITAL POVISA SA por la infracción del artículo 9. 1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 91 del RLOPD, tipificada como grave, en el artículo 44.3.
  2. h)de dicha norma. En el acuerdo de inicio, sin perjuicio de lo que resultara de la instrucción, se consideraba de aplicación el artículo 45.5 LOPD, y en función de los elementos que concurrían del artículo 45.4 se fijaba la cuantía a los efectos del artículo 64.2
  3. b)de la LPCAP y artículo 127
  4. b)del RLOPD de 40.000 € por la infracción del artículo 9.1 de la LOPD. SEXTO: Con fecha 19/07/2018 la denunciada manifestó: 1) Para analizar si POVISA debió haber ocultado en la historia clínica electrónica compartida con el SERGAS la asistencia sanitaria prestada con cargo a la compañía aseguradora privada CASER, o si, por el contrario, en interés del propio paciente, debe mantenerse que la historia clínica es un documento único para la correcta atención a prestar al paciente, cita diversos artículos relacionados con la historia clínica: -art 15 de Ley 3/2001 del consentimiento información y de la historia clínica de Galicia, -artículo 14 de la ley 41/2002 básica reguladora de la autonomía del paciente, -artículo 56 de la Ley 16/2003 de 28/05 de cohesión y calidad del sistema nacional de salud, - artículos 1, 3, 5, 8 10 del Decreto 29/2009 de 5/02 de la Conselleria de Sanidad que regula el uso y acceso a la historia clínica electrónica. 2) Considera que facilitar al profesional sanitario toda la información del paciente de que se disponga, responde a: -Una correcta prestación exige conocer toda la información clínica del paciente, y por ello, los profesionales tienen que tener acceso a toda la documentación para la prestación del servicio, y la administración facilitarla. -El derecho de los ciudadanos a recibir una atención sanitaria de calidad en condiciones igualitarias, y si en algunos casos no se contemplan ciertos procesos asistenciales, pese a haber tenido lugar, se vulnera esa igualdad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 –Las graves consecuencias que podría tener si se diagnostica inicialmente por una compañía privada y posteriormente se acudiera al sistema público por un caso de urgencias, ya que desconocer el historial podría dar lugar a poner en peligro la salud del paciente entre otras, con reacciones adversas y en ocasiones del público en general por ejemplo llegado el caso por contagio. De esta tesis, por ejemplo, ingreso del paciente inconsciente en urgencias y no conocer la historia clínica privada, como contraindicaciones, alergias, enfermedades transmisibles, deduce que está en juego un interés vital del paciente, derecho a la vida que debe privar sobre el tratamiento de datos 3) Se accedió a los datos por un profesional sanitario del SERGAS sometido al deber de secreto, y si dicho acceso no era necesario para la asistencia que se estaba prestando, él es el responsable. Los accesos se producen adecuadamente con contraseña y usuario. No existe intencionalidad ni reincidencia. Se produjo una errónea interpretación de la normativa de aplicación, que además no tenía como fin la obtención de beneficios. SÉPTIMO: Con fecha 17/10/2018 se inició la fase de pruebas, incorporando la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/07037/2017 y las alegaciones al acuerdo de inicio del procedimiento PS/00287/2018 presentadas por la denunciada. Asimismo, se solicitó: A SERGAS: Sobre los datos de la denunciante; 1) Accesos por profesionales o empleados de la sanidad pública a sus datos a través de aplicación que gestiona la historia clínica electrónica, IANUS, y en concreto si es posible acceder a historial clínico prestado en hospitales con cargo a aseguramiento de carácter privado a dicha persona (periodo 2017). Se envía a tal efecto copia de un documento en el que una inspectora medica se dirige a MUTUA UNIVERSAL consignado que “la asegurada tiene cita con traumatología de POVISA el 15/03/2017“considerando que dicha noticia no procede de atención médica en el servicio público de salud. El día 19/10/2016 recibió la notificación de la información solicitada, sin que se recibiera respuesta. 2) Modo en que se implanta la aplicación IANUS en hospitales concertados y si se imparte alguna directriz cuando el mismo hospital presta servicios para aseguradoras privadas en cuanto a accesos y recogida de datos de dichos historiales clínicos. 3) Copia de eventuales reclamaciones interpuestas por la denunciante ante ese SERGAS y respuesta que se le ha dado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 A la denunciante: 1) Copia de la reclamación que haya podido interponer por los hechos denunciados, (acceso a historia clínica prestada bajo la aseguradora CASER en hospital POVISA) sea ante la seguridad social o ante la clínica POVISA, y respuesta que se le ha dado. Con fecha 31/10/2018 responde que solo ha denunciado ante esta AEPD. 2) A la denunciante, fecha en que, al acudir a la consulta de MUTUA UNIVERSAL se enteró por primera vez del acceso denunciado, y fecha de la nueva consulta con el citado médico de Mutua Universal cuya conversación figura en la grabación del USB que aportó a su denuncia. Manifiesta que del acceso objeto de la denuncia se apercibió el 24/03/2017 día en el que el médico de MUTUA UNIVERSAL le mostró la carta donde la Inspección indicaba el día en el que tenía la consulta con el médico privado en POVISA. Manifiesta que en esa misma consulta se le entregó un documento que ya figuraba en su denuncia, sobre propuesta de alta a la Inspección Médica del SERGAS, fechado a 24/03/2017, donde consta “la paciente no desea firmar” en el que en resumen se indica que del proceso de IT por contingencias comunes iniciado el 26/12/2016 a la vista de los informes médicos, exploraciones y pruebas… y se la remite en un plazo de dos días a la consulta del médico de atención primaria. En la siguiente revisión a la misma MUTUA UNIVERSAL de 10/04/2017 fue cuando realizó la grabación aportada en el USB, aporta un escrito expedido por la Mutua de ese día 10/04/2017. OCTAVO: Con fecha 8/11/2018 se emite propuesta de resolución con el literal: “Que por la directora de la Agencia Española de Protección de Datos se sancione a HOSPITAL POVISA, S.A. con NIF A36606788, con multa de 40.000 € por la infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  5. h)de dicha norma. Frente a la misma se recibe el 22/11/2018 alegaciones en las que indica: 1) El acceso a la historia clínica se llevó a cabo por el Servicio de Inspección Médico de SERGAS a MUTUA UNIVERSAL MUGENAT que tenía que revisar el estado de salud de la denunciante como consecuencia de baja médica. El servicio Médico de Inspección de SERGAS comunicó que “tenía una cita pendiente con un traumatólogo. El decreto 53/2014 de 16/04 de ordenación de la inspección de servicios sanitarios de la Comunidad autónoma de Galicia establece que ejerce funciones de inspección, control, auditoria y evaluación de centros, servicios, establecimientos sanitarios públicos y privados y de prestaciones sanitarias de la Comunidad Autónoma de Galicia. En su artículo 4.
  6. e)se recoge que pueden “Acceder en el ejercicio de su actividad inspectora a la historia clínica de los/las pacientes en cualquier centro, servicio o establecimiento sanitario, público o privado, garantizando el derecho del paciente a la confidencialidad de sus datos”. 2) En cuanto al acceso que pudo realizar el médico de cabecera de la denunciante al historial del tratamiento llevado a cabo por el seguro privado, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 HOSPITAL POVISA, este acceso al sistema contó con el consentimiento de la paciente, efectuándose en su presencia y con su consentimiento. 3) Indica que de la lectura de la normativa que regula el acceso de la historia clínica única a través de IANUS se desprende: -Solo accede personal sanitario autorizado, pues el sistema verifica la autorización para dicho acceso, que lo hace a la historia clínica única, de cada paciente, legitimado por el principio de vinculación asistencial y en el ejercicio de sus funciones y competencia. Todo ello bajo la premisa de que es para la idónea asistencia sanitaria al paciente o usuario, y por profesionales sujetos al deber de secreto. -La Ley 41/2002 en su disposición adicional tercera recoge, “sin distinción entre sistema público o privado, el interés general que debe prevalecer sobre el particular, en relación con garantizar una asistencia sanitaria de calidad, con el literal: “El Ministerio de Sanidad y Consumo, en coordinación y con la colaboración de las Comunidades Autónomas competentes en la materia, promoverá, con la participación de todos los interesados, la implantación de un sistema de compatibilidad que, atendida la evolución y disponibilidad de los recursos técnicos, y la diversidad de sistemas y tipos de historias clínicas, posibilite su uso por los centros asistenciales de España que atiendan a un mismo paciente, en evitación de que los atendidos en diversos centros se sometan a exploraciones y procedimientos de innecesaria repetición.” La Ley no distingue ni limita, luego la AEPD no debe diferenciar. 4) Reitera el artículo 56 de la Ley 16/2003 para deducir que no resulta lógico ni razonable entender que la mejora de la asistencia sanitaria a los ciudadanos proviene y se debe garantizar solo con los datos obtenidos de la sanidad pública, poniendo como ejemplo una persona que únicamente dispone de historia clínica privada y que podría acudir a un centro público a recibir asistencia en urgencias, pudiéndose derivar responsabilidades por la falta de conocimiento de la historia privada. En tal sentido, indica que su acción esta implementada pensando en el interés de los pacientes, velando por su seguridad asistencial y careciendo de intencionalidad, de beneficios y falta de perjuicios para el interesado, por lo que solicita la reducción de la sanción a 600 euros. 5) No se incumplen medidas de seguridad pues el modo de acceder está regulado con contraseña y usuario y existen logs de registro de accesos. Se ha verificado a lo largo de la Instrucción que la historia clínica de los pacientes no estaba accesible para ninguna de las entidades privadas a las que al Inspección visitó, ajenas a HOSPITAL POVISA. “Lo que sucede es que se pretende una mayor seguridad asistencial para los pacientes, permitiendo la unificación de los procesos asistenciales con independencia de quien resulte el pagador de la asistencia sanitaria, toda vez que se persigue una mayor seguridad para los pacientes. Resulta incongruente y arriesgado el limitar el acceso solo a los procesos asistenciales en la sanidad pública si lo que se busca es garantizar una asistencia de calidad y mayor seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 HECHOS PROBADOS 1) La denunciante se hallaba de baja médica en situación de incapacidad temporal (IT) para la prestación de su trabajo desde 21/12/2016 en la empresa IRAGO EXCLUSIVAS Y DISTRIBUCIONES SA, acudiendo el 24/03/2017 a la MUTUA UNIVERSAL MUGENAT para evaluación de su estado de salud, siendo dicha entidad encargada de la prestación de asistencia sanitaria y del control de IT, colaboradora con la Seguridad Social. 2) La denunciante denuncia que, en dicha visita, el Médico le comentó que tiene un escrito de la inspección Médica de la Seguridad Social que le indica que “La asegurada tiene una cita con traumatología de POVISA el 15/03/2017.” La denunciante indica en su denuncia y así se lo manifestó al Médico de MUTUA, que esa cita fue concertada por el seguro privado de CAJA de SEGUROS REUNIDOS COMPAÑÍA DE SEGUROS Y REASEGUROS (CASER) y fue anulada días antes de acudir. 3) El Hospital privado POVISA, a través de su propio personal, en régimen de dedicación exclusiva, presta servicios médicos a pacientes con régimen de aseguramiento privado con la entidad CASER, así como para el servicio Gallego de Salud (SERGAS) y en régimen de concierto para prestación de asistencia sanitaria del Sistema público, a diferentes Mutuas, entre ellas MUTUA UNIVERSAL MUGENAT disponiendo de los respectivos contratos. POVISA manifestó en la Inspección realizada el 5/04/2018 que la denunciante recibió asistencia sanitaria en POVISA exclusivamente en su condición de asegurada de CASER. En los registros de los sistemas de información del HOSPITAL POVISA figuran las citas que la denunciante ha tenido. Durante la visita de Inspección se verificó que los datos de la denunciante figuraban en los sistemas de POVISA desde 30/12/2016 a 22/02/2018 constando 15 citaciones en diferentes consultas, todas ellas a través de CASER. 3) Los profesionales de POVISA se ocupan de registrar toda la actividad realizada a los usuarios que acuden a POVISA, sean por Seguridad Social sea por seguro privado. Según informó POVISA, los profesionales médicos del SERGAS consultan a través de la plataforma IANUS, titularidad de SERGAS las historias clínicas del colectivo protegido por la Seguridad Social (historia medica electrónica). 4) El Hospital POVISA informó en la visita de Inspección de 5/04/2018 que la historia clínica única de cada paciente que es atendido en su Hospital se halla recogida en el sistema de información de POVISA, incluso si son atendidos con póliza de CASER, indicando que cuando un paciente acude a su sede, ha de informar por cuenta de que aseguradora acude. En el menú citaciones de una aplicación de POVISA consta que la denunciante se citó para el servicio de traumatología el 4/03/2017 y una fecha “real /anula: 13/03/2017” con CASER SEGUROS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 5) También con un perfil medico de POVISA, accediendo a la plataforma IANUS se puede ver la historia clínica de la paciente, tanto la que figura en los sistemas informáticos de POVISA como la de SERGAS (doc. 5). Con el perfil de Médico de POVISA se hace una consulta en el sistema de POVISA y se consiguen ver todos los actos asistenciales asociados a la denunciante, verificándose que todos ellos han sido realizados mediante la cuenta de CASER (doc. 7). 6) Los Inspectores accedieron a través de la plataforma IANUS con un perfil médico del SERGAS a toda la historia clínica de la paciente tanto la que figura en los sistemas informáticos de POVISA como de SERGAS, (doc. 5 y 6) obteniéndose informe de la denunciante bajo la aseguradora CASER del servicio de radiología realizado el 30/12/2016 en el que se valora la descripción y conclusión diagnostica. 7) En los sistemas de información de MUTUA UNIVERSAL MUGENAT APLICACIONES MUTUA”, figuraban los datos de la denunciante, número de episodio ***XXX, asociados a las siguientes anotaciones:  La primera actuación desde la MUTUA UNIVERSAL fue una llamada telefónica el día 2/01/2017, en el que la trabajadora comunica al interlocutor, que al día siguiente tiene una cita con el reumatólogo.  En el documento “curso clínica figura”: “El 11/01/2017, viene a primera consulta, figurando en el comentario “Sin cita en el especialista en el SPS”.  Con fecha 2/03/2017, figura “se gestiona cita”. El 13/03/2017 consta “respuesta INSS Fundamentan su prop de alta en una exploración física de hace dos meses en la que indican que hay cojera evidente y dificultad para sedestación, además de molestias a la lateralización y flexión de tronco, datos relevantes para su actividad dado que es especialista en contabilidad. “La asegurada tiene cita con cot el 15/03 dado que la valoración clínica es patológica y no actualizada, y teniendo en cuenta los datos recibidos …procede esperar la valoración por cot el 15/03”. Anotación de 24/03/2017 “La paciente refiere que a ella no le han notificado ni tenía ninguna cita con COT por el SPS el 15/03/2017. Realizado nueva PA ya que los datos de la IM son incorrectos y no había pautada ninguna evaluación por especialista”, “La paciente notifica que la cita con COT era por privado en POVISA que gestionó por privado en POVISA que gestionó con un familiar y no por el SPS”  MUTUA UNIVERSAL realizó una Propuesta de Alta ante la Inspección médica de los Servicios Sanitarios de la Consejería de Sanidad, fecha firma 2/03/2017, entrada en Inspección 6/03/2017 figurando como fecha de baja médica 21/12/2016, empresa para la que presta servicios la paciente: IRAGO EXCLUSIVAS Y DISTRIBUCIONES SA. Consta la anotación “Cita con COT para diciembre 2017, fecha para la cual ya habría cumplido un año de IT. “En fecha 27/01/2017 se realiza gestión de adelanto de cita con COT la cual a fecha actual no ha sido respondida”.  Asimismo, consta un documento “comunicación propuesta de alta a la Inspección Médica del SERGAS” de la denunciante, fechado el 23/02/2017 en el que consta “la paciente rehúsa firmar”.  Copia de escrito con sello entrada en Mutua UNIVERSAL 13/03/2017, de la Inspección de la Consejería de Sanidad, Servicio de Inspección sanitaria en el que indican textualmente. ASUNTO: resolución propuesta de alta, fecha de la propuesta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 6/03/2017 “La asegurada tiene cita con COT el 15 de marzo…Esperar la valoración por el COT el 15 de marzo.”  Con fecha 24/03/2017, la asegurada vuelve a tener cita en Mutua Universal, en el transcurso de la cual, la paciente comunica al médico de Mutua, que la cita con el COT era por privado en POVISA. Los representantes de MUTUA UNIVERSAL manifiestan que en la anotación correspondiente al día 13/03/2017, en la que se indica “Respuesta INSS”, debería constar “Respuesta de la Inspección de Servicios Sanitarios” Se accede al expediente en papel correspondiente a Dña. A.A.A., verificándose la existencia de diferentes documentos, entre los que se encuentran un escrito de contestación desde la Inspección médica a Mutua Universal, de fecha 7/03/2017, en el que consta la siguiente información: la asegurada tiene cita con traumatología de POVISA el día 15.03.17.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002 básica reguladora de la autonomía del paciente define la historia clínica 1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro. 2. Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información. 3. Las Administraciones sanitarias establecerán los mecanismos que garanticen la autenticidad del contenido de la historia clínica y de los cambios operados en ella, así como la posibilidad de su reproducción futura. 4. Las Comunidades Autónomas aprobarán las disposiciones necesarias para que los centros sanitarios puedan adoptar las medidas técnicas y organizativas adecuadas para archivar y proteger las historias clínicas y evitar su destrucción o su pérdida accidental.” En el artículo 15 se define su contenido: “1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente: … En el 16 los usos: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” El artículo 56 de la Ley 16/2003 de 28/05 de cohesión y calidad del sistema nacional de salud indica: “Con el fin de que los ciudadanos reciban la mejor atención sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados con las Comunidades Autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el acceso a la historia clínica en los términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione. El Ministerio de Sanidad y Consumo establecerá un procedimiento que permita el intercambio telemático de la información que legalmente resulte exigible para el ejercicio de sus competencias por parte de las Administraciones públicas. El intercambio de información al que se refieren los párrafos anteriores se realizará de acuerdo con lo dispuesto en la Ley Orgánica 15/1999, de 13/12, y en la Ley 41/2002, de 14 de noviembre.” Se deduce de la lectura de este artículo que afecta al sistema público de salud que es el que propiamente las autoridades tienen la obligación de garantizar en cuanto a la asistencia sanitaria pública. En el ámbito de la CCAA de Galicia, el artículo 15 de la Ley 3/2001, de 28/05 del Consentimiento Informado de Galicia indica: “La historia clínica deberá ser única por paciente, al menos en cada complejo hospitalario, hospital o centro sanitario. Dicha historia clínica acumulará toda la información clínica generada en cada episodio asistencial e integrará los diferentes episodios del paciente.” El Decreto núm. 29/2009, de 5/02 regula el acceso y uso de la información contenida en la historia clínica electrónica, en el ámbito del sistema público de salud de Galicia, de modo que l os/las profesionales sanitarios/as que desarrollan su actividad para el sistema sanitario público de Galicia en el ámbito de la salud pública, se acogen en su totalidad a la regulación de acceso y uso de la historia clínica electrónica En su exposición de motivos se indica: “En este contexto, la Conselleria de Sanidad desarrolló un sistema de historia clínica electrónica denominado IANUS. Este sistema integra en un único sistema de información, toda la documentación clínica generada en los diferentes niveles de prestación a lo largo de todo el proceso asistencial. IANUS configura un modelo de historia clínica única, que garantiza, de manera segura, la accesibilidad de toda la información clínica a los profesionales que desarrollan su actividad para el sistema sanitario público de Galicia, promoviendo la compartición de información y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 transferencia de conocimiento. Los principios generales para tener en cuenta para la regulación en esta materia son, fundamentalmente, el principio de la vinculación asistencial con el paciente, el principio de proporcionalidad y el principio de autonomía. El principio de vinculación asistencial es la llave que legitima el acceso a la historia clínica electrónica por los profesionales sanitarios, así como por el personal con funciones administrativas, de gestión o de atención al paciente. El principio de proporcionalidad es aquel que marca en cada momento, y en relación con cada situación concreta, el alcance y medida que puede tener el acceso a la historia clínica electrónica. Por último, el principio de la autonomía de la voluntad del paciente permite a éste el acceso a su historia clínica «IANUS configura un modelo de historia clínica única, que garantiza, de forma segura, la accesibilidad de toda la información clínica a los/las profesionales que desarrollan su actividad para el sistema sanitario público de Galicia, promoviendo la compartición de información y la transferencia de conocimiento». El artículo 4 del Decreto núm. 29/2009, “Gestión de la historia clínica electrónica” indica: 1. La historia clínica electrónica se gestionará mediante el sistema de información corporativo denominado IANUS, con la finalidad de garantizar la calidad, accesibilidad y seguridad técnica de la información clínica, así como la coordinación y la continuidad asistencial. 2. Los/as profesionales que necesiten cumplimentar o consultar la historia clínica electrónica de un/a paciente o usuario/a utilizarán IANUS como principal herramienta de trabajo, sin perjuicio de que determinados departamentos, por sus especiales necesidades, utilicen herramientas informáticas específicas, siempre que figuren incluidas en el catálogo corporativo de aplicaciones y sistemas informáticos de la Consellería de Sanidad y deberán estar integradas con el sistema de información IANUS, desde donde será posible consultar la información clínica generada por las mismas. Artículo 5. Comunicación de datos personales 1. Los datos de salud, en cuanto datos especialmente protegidos, podrán tratarse y cederse en los términos previstos en los artículos 7, 8 y 11 de la Ley Orgánica 15/1999, de 13 de diciembre, y el Reglamento que la desarrolla. 2. En particular, no será necesario el consentimiento de la persona interesada para la comunicación de datos personales sobre la salud a través de medios electrónicos, entre organismos, centros, servicios y establecimientos de la Conselleria de Sanidad, el Servicio Gallego de Salud y el sistema nacional de salud, cuando se realice para llevar a cabo la atención sanitaria de las personas, tanto se realice con medios propios o concertados. Artículo 7. Control del acceso “1. Los/as profesionales podrán consultar la información contenida en la historia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 clínica electrónica en el ejercicio de las funciones y competencias que tengan reconocidas. 2. El sistema IANUS identificará de forma inequívoca y personalizada a todo profesional que intente acceder a la información contenida en la historia clínica electrónica de un/a paciente o usuario/a, y verificará su autorización. 3. Se establecerán las medidas técnicas y operativas de control de los accesos de los/as profesionales a la información contenida en la historia clínica electrónica, en la forma que resulte más adecuada a sus circunstancias organizativas. Por defecto, este acceso se realizará mediante el uso de la tarjeta identificativa del profesional y su firma electrónica reconocida. 4. De cada intento de acceso al sistema IANUS se guardarán, como mínimo, la identificación del/de la profesional de que se trate, la fecha y hora en que se realizó, la parte de la historia clínica electrónica accedida y el tipo de acceso. Si el acceso al sistema IANUS es denegado por no cumplirse los criterios de acceso, esta denegación quedará también registrada.” En el capítulo II se relacionan los diferentes accesos por los/as profesionales relacionados/as con el sistema sanitario público de Galicia y en su artículo 8 se contiene: “Acceso a la historia clínica electrónica por los profesionales sanitarios” “Los/as profesionales sanitarios tienen acceso a la información contenida en la historia clínica electrónica, como instrumento fundamental para la idónea asistencia sanitaria al/a la paciente o usuario/a. El sistema IANUS habilitará el acceso a la información contenida en la historia clínica electrónica de un/a paciente o usuario/a por los/as profesionales sanitarios que intervengan en su asistencia directa en los distintos niveles de prestación.” Artículo 10. Acceso por profesionales sanitarios de establecimientos concertados para la prestación de servicios centros, servicios y “Se permitirá el acceso a la información contenida en la historia clínica electrónica a los/as profesionales sanitarios que trabajen para las personas físicas o jurídicas que presten servicios concertados en hospitales u otros centros sanitarios del Servicio Gallego de Salud, previa acreditación del cumplimiento de las exigencias contenidas en la normativa de protección de datos personales. Este acceso estará limitado a las historias clínicas de los/as pacientes o usuarios/as que los centros sanitarios del Servicio Gallego de Salud remitan a los centros concertados y en el marco temporal que dure esa atención.” Estos centros concertados incorporarán a la historia clínica electrónica la documentación clínica generada por la asistencia sanitaria prestada Artículo 12. Acceso a efectos de las actividades de inspección, evaluación, acreditación y planificación sanitaria “El sistema IANUS permitirá el acceso a la información contenida en la historia clínica electrónica al personal debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación sanitaria, en la medida en que lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 precise para el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, del respeto de los derechos del/de la paciente o de cualquier otro deber del centro en relación con los/as pacientes y usuarios/as o la propia Administración sanitaria. El acceso mencionado tendrá el alcance de la labor encomendada por la autoridad competente, y respetará el derecho a la intimidad personal y familiar de los/as pacientes o usuarios/as. El acceso a la información contenida en la historia clínica electrónica con fines de evaluación, acreditación y planificación sanitaria obliga a preservar los datos de identificación personal del/de la paciente o usuario/a, separados de los de carácter clínico-asistencial, de manera que como regla general quede asegurado el anonimato, excepto que el/la propio/a paciente o usuario/a diese su consentimiento para no separarlos.” Artículo 15. Acceso a la historia clínica electrónica a efectos de facturación de servicios sanitarios “A las compañías de aseguramiento privado sólo se les facilitarán aquellos datos de la historia clínica electrónica imprescindibles a efectos de facturación, con la finalidad de la justificación del gasto. Cualquier otra información clínica solicitada por la compañía aseguradora requerirá el consentimiento expreso del/de la paciente.” Artículo 18. Acceso de carácter excepcional “El acceso fuera de los supuestos recogidos en este capítulo tendrá carácter excepcional y habrá de responder a un interés legítimo susceptible de protección y estar convenientemente motivado.” De acuerdo con la información de la visita de inspección del servicio de la AEPD a MUTUA UNIVERSAL, la trabajadora se hallaba de baja médica desde 21/12/2016 y acude el 11/01/2017 en primera consulta a MUTUA UNIVERSAL, figurando el comentario “Sin cita en el especialista en el SPS” y la Mutua realizó el 2/03/2017 una propuesta de alta ante la Inspección Médica de los servicios Sanitarios de la Consejería de Sanidad. También figura la anotación de 24/01/2017 “paciente en espera de cita COT en diciembre 2017 cuando cumple un año de IT. Se hará gestión de adelanto de cita COT” y el mismo día, tiempo después: “Realizo gestión adelanto cita COT”, con la anotación 7/02/2017 “Sin cambios, sin respuesta para la cita de COT. Le dicen que será vista por RHB pero que ya le llamaran”, y el 23/02/2017 “Sin respuesta para la evaluación por COT-INSS. Realizo RHB por el SPS”” Realizo IA ya que el INSS no adelanta cita ni da más tratamiento que AINES, El 2/03/2017 “Confirma que continua en IT. Se gestiona cita para realizar PA” y el mismo día más tarde “No alta tras IA. Realizo PA”. El 13/03/2017 consta: “respuesta INSS Fundamentan su prop de alta en una exploración física de hace dos meses en la que indican que hay cojera evidente y dificultad para sedestación, además de molestias a la lateralización y flexión de tronco, datos relevantes para su actividad dado que es especialista en contabilidad. Alegan que solo está a tto con…” La asegurada tiene cita con cot el 15/03 dado que la valoración clínica es patológica y no actualizada, y teniendo en cuenta los datos recibidos …procede esperar la valoración por cot el 15/03”. El 24/03/2017 “La paciente notifica que la cita con COT era por privado en POVISA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 que gestiono con un familiar y no por el SPS” El informe propuesta clínico laboral enviado al Inspector medico con entrada de 6/03/2017 contiene datos sobre el diagnosticado de la denunciante. En juicio clínico se indica puede proceder el alta, siendo firmado el escrito el 2/03/2017. En la respuesta, el Servicio de Inspección a 7/03/2017 indica que “La asegurada tiene cita con traumatología de POVISA EL 15/03/2015”, y más adelante “Dado que la valoración clínica y patológica no es actualizada y teniendo en cuenta los datos, procede esperar la valoración por traumatología el 15/03/2017”. El escrito tuvo entrada en la Mutua el 13/2017. Se aprecia pues, que el Servicio de Inspección ha accedido a información clínica de la denunciante en POVISA, servicio que en esta ocasión le fue prestado todas las veces que acudió, en régimen de aseguramiento privado. En cuanto a la alegación de la denunciada de que ese acceso se produce por las facultades que tiene atribuido el servicio de Inspección, sobre ello se cuestionó al citado servicio, y no respondió. Las atribuciones del Servicio de Inspección en las propuestas de alta, consultando datos del servicio privado de aseguramiento se salen de los tratamientos valoraciones y diagnósticos que pueda tener si tiene alguno en el servicio público de salud, siendo este acceso uno de los que se valoran como indebido al contenerse datos de salud de la denunciante a los que se acceden sin consentimiento expreso de la misma. El acceso al régimen privado de aseguramiento de la denunciante también se verifica por otro lado en la inspección presencial llevada a cabo en POVISA, ya que en el sistema IANUS y con perfil de acceso de profesional del SERGAS, el propio sistema deja acceder a los datos médicos de la denunciante dicha información con el perfil de médico del sistema público de asistencia sanitaria. confrontando dicha posibilidad no solo por razones que podrían encajar o no en los accesos, sino Extremos que se verifican y así constan en la inspección, puntos: 3.2, las 15 citaciones en POVISA desde 30/12/2016 en adelante se produjeron a través de la aseguradora privada CASER, incluyendo la que tenía programada para el 15/03/2017 en traumatología, y que fue anulada el 13/03/201, cuando la cita se concertó el 4/03/2017-documento 4. 3.3 Accediendo a través de IANUS se tiene acceso a toda la historia clínica de la paciente tanto la que figura en sistemas de POVISA como la del SERGAS, documento 5 en el que se visualiza el acceso en POVISA, EL 5/04/2018, CON DATOS DE diagnósticos salud en distintas fechas. En el punto 4 se hicieron comprobaciones mediante perfil medico de SERGAS a través de la plataforma IANUS accediéndose a la historia clínica de POVISA completa de la denunciante, se aprecia en documento 6 Por el principio de vinculación, los profesionales sanitarios no pueden acceder a cualquier historia, solamente por su condición de trabajadores del centro sanitario, sino que es preciso que tengan relación asistencial con el paciente titular de la historia. El principio de vinculación consiste en que el acceso está autorizado para el profesional respecto de las historias que corresponden a pacientes a quienes prestan asistencia, ya que de exceder este principio la vulneración es clara. En este supuesto, el acceso del Servicio de Inspección Médica ha sido lo que ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 llevado a conocer y la inspección presencial a POVISA a confirmar los accesos a la historia clínica prestada en régimen privado a la denunciante. III Los hechos imputados a la denunciada son la infracción del artículo 9.1 de la LOPD que indica: “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”; en relación con el artículo 91 del RLOPD que, sobre control de acceso, señala: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” En el presente procedimiento hay que considerar que el Hospital POVISA no ha incorporado las medidas de seguridad adecuadas para impedir que desde el SERGAS se accediese a toda la información generada por el personal sanitario que presta servicios en el mencionado Centro Hospitalario con cargo a un aseguramiento privado. De esta forma, el personal del SERGAS, y no solo el de Inspección, puede acceder a la historia clínica generada por los médicos de POVISA que han prestado asistencia sanitaria a pacientes de CASER y de cualquier otra compañía aseguradora de salud privada con la que tienen firmado un contrato de prestación de servicios. El Decreto 29/2009, de 5/02, de la Conselleria de Sanidade de Galicia, que regula el acceso y uso a la historia clínica electrónica, establece que el sistema que la integra será IANUS y contendrá toda la documentación clínica generada en los diferentes niveles de prestación a lo largo de todo el proceso asistencial; pero solo la que se ha generado por los profesionales de los centros sanitarios del Servicio Gallego de Salud o los centros concertados. POVISA atiende a pacientes del SERGAS de diferentes poblaciones, mediante un contrato de prestación de servicios. Esa información si tiene que estar accesible a cualquier profesional del SERGAS, pero no la que se refiere a pacientes que acuden a POVISA por una aseguradora privada. Esa información debe ser custodiada por el Hospital POVISA, pero no tiene que estar accesible a los profesionales del SERGAS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 IV Esta infracción está tipificada como grave, en el artículo 44.3.
  8. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  24. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto puede apreciarse la concurrencia de los siguientes criterios: 45.4
  25. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción. 45.4
  26. f)El grado de intencionalidad. Se tiene en cuenta en esta ocasión que no hay constancia de actuación intencionada, sino que se puede tratar de una interpretación inadecuada de la normativa gallega sobre historia clínica electrónica y su acceso por parte de los centros a los que presta servicios. En cuanto a la graduación de la sanción dentro ya de la escala de las leves por aplicación del 45.5 a), se considera que concurren: 45.4
  27. c)la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que su actividad está estrechamente relacionada con el tratamiento de datos personales relacionados con la salud. 45.4
  28. g)La reincidencia por comisión de infracciones de la misma naturaleza. La entidad denunciada no figura como responsable de infracciones de la misma naturaleza. Teniendo en cuenta la concurrencia de los citados criterios del artículo 45.4 de la LOPD, se impone una sanción de 40.000 € por la infracción del artículo 9.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HOSPITAL POVISA, S.A. con NIF A36606788, por una infracción del artículo 9 de la LOPD de la LOPD, tipificada como grave en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 artículo 44.3.
  29. h)de la LOPD, una multa de 40.000 €, de conformidad con lo establecido en el artículo 45.1,.2,.4
  30. c)y .4 g). y 5
  31. a)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a HOSPITAL POVISA, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  32. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07 en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.