REPOSICION-E-00324-2015

1/4 Procedimiento nº.: E/00324/2015 ASUNTO: Recurso de Reposición Nº RR/00068/2016 Examinado el recurso de reposición interpuesto por Dª. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00324/2015, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 21 de diciembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de investigación E/00324/2015, procediéndose al archivo de actuaciones porque se concluyó que no se vulnera la normativa de protección de datos. Con fecha de 22 de diciembre de 2014 la ahora recurrente presentó un escrito en esta Agencia en el que declara la existencia de graves carencias en la seguridad, confidencialidad y control de acceso en el tratamiento de las Historias Clínicas (en adelante HC) de los pacientes del HOSPITAL. Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. El 28 de septiembre de 2015 se realizó visita de inspección al HOSPITAL PADRE JOFRÉ Se aportó copia del Documento de Seguridad, así como de la Guía de Uso de la Historia Clínica (en adelante HC). Se expuso que el personal de la entidad conoce sus obligaciones respecto de las medidas de seguridad de la documentación que contiene datos de carácter personal. Los representantes del Hospital informaron de que toda la HC está en soporte papel y mostraron a los inspectores las medidas de seguridad del archivo y de otras zonas donde las historias clínicas estaban en uso, comprobando las distintas medidas de seguridad existentes. Los representantes de la entidad manifestaron que, la Dra. A.A.A. no seguía el protocolo de evaluación conjunta, y sus anotaciones las hacía en hojas independientes al resto de sus compañeros. La resolución de 21 de diciembre de 2015 fue notificada a la recurrente en fecha 28 de diciembre de 2015, según aviso de recibo que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 SEGUNDO: Dª. A.A.A. (en lo sucesivo la recurrente) ha presentado en esta Agencia, en fecha 21 de enero de 2016, recurso de reposición, fundamentándolo básicamente en los mismos argumentos ya aportados en su denuncia. Expone que solo tras su denuncia se ha procedido a subsanar algunos defectos en la custodia de las historias clínicas de los pacientes. Expone también que: “No obstante, entiendo que la resolución de archivo no hace suficiente hincapié en el segundo bloque de hechos contenido en la denuncia; y que en absoluto se ha subsanado. Por ello, se interpone recurso de reposición a fin de que la Agencia reconsidere en este punto su posición y exija del Hospital la adopción urgente, en interés de los pacientes y de terceros, de medidas de cesación y corrección de esta situación. Se trata de que, no habiéndose procedido a la informatización de las historias clínicas en el Hospital, y estando por tanto las mismas todavía plasmadas en papel, dichas historias clínicas son en su totalidad accesibles a todo el personal que en ellas escribe: todo el personal sanitario (Psiquiatras y otros Facultativos especialistas del Area Médica Integral; Psicólogos; Enfermeras...) incluyendo por ejemplo al Auxiliar de Clínica que apunta en la historia clínica por ejemplo los alimentos que se suministran al paciente; o el Trabajador Social —que ni siquiera es personal sanitario- que asimismo le atiende para otras facetas de su problemática, ya que el hospital está especializado en enfermos mentales y paliativos.” Concluye su escrito solicitando que se revoque el archivo de la denuncia en el punto relativo al acceso indiscriminado del personal a la totalidad de la historia clínica en papel; que se adopten las medidas disciplinarias pertinentes y que se inste al Hospital Padre Jofré a que cese esta situación y adopte las medidas necesarias al efecto. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la recurrente en las que solicita que el acceso a la historia clínica en papel no sea indiscriminado por todo el personal cabe exponer lo siguiente: Debe tenerse en cuenta que la regulación de la historia clínica se recoge en una ley específica, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, cuyo artículo 14.1 dispone que “la historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro”. A su vez, el artículo 16 de dicha norma regula los usos y el acceso a la historia clínica. En la misma se establece un régimen específico que delimita la aplicación de la Ley 15/1999 en este caso, de manera que los accesos a la historia clínica deberán ser los previstos en su artículo 16 contemplado como aplicación de la excepción al consentimiento prevista en el artículo 7.3 de la Ley Orgánica 15/1999, que señala: “

1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia.
2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten”. Esta excepción debe ser interpretada restrictivamente, lo que excluye la comunicación o acceso a los datos de la historia clínica con finalidades distintas que no sean las de prevención, diagnóstico y asistencia sanitaria necesarias para la salud de los pacientes afectados. El acceso a la historia clínica o la comunicación de sus datos con otra finalidad, requerirá el consentimiento expreso del afectado. La finalidad de la historia clínica será, conforme al artículo 15.2 de la Ley 41/2002, “facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”, regulando la Ley sus normas de conservación, así como el acceso por el paciente y por terceros a los datos contenidos en la historia. El artículo 16, al margen de los accesos referidos al personal sanitario que preste servicios en el correspondiente centro, en sus apartados 4, 5 y 6 regula también el acceso en estos términos: “
3. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.
4. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria.
5. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.” En el expediente de actuaciones previas de inspección se valoraron las medidas de seguridad adoptadas en la custodia de las historias clínicas de un hospital que se encuentran en soporte papel, es decir, un fichero no automatizado de datos relacionados con la salud. En la resolución de archivo ahora recurrida, se expuso que en la inspección llevada a cabo por esta Agencia se ha constatado que en el hospital Padre Jofré, de la Consellería de Sanitat de la Generalitat Valenciana, se adoptan las medidas de seguridad adecuadas a los datos de carácter personal que se tratan, los relacionados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 con la salud. En definitiva en dicha resolución se consideró que, el hospital Padre Jofré, de la Consellería de Sanitat de la Generalitat Valenciana, dispone de las medidas de seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal, por ello, debe considerarse que no se vulnera la normativa de protección de datos. En cualquier caso se recordaba que la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto se concluye que en el presente recurso no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, por lo que procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª. A.A.A. contra la resolución de esta Agencia dictada con fecha 21 de diciembre de 2015, en el expediente de actuaciones previas de inspección E/00324/
6. SEGUNDO: NOTIFICAR la presente resolución a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es