1/3 Procedimiento nº.: E/04787/2015 ASUNTO: Recurso de Reposición Nº RR/00074/2016 Examinado el recurso de reposición interpuesto por Doña A.A.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04787/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de diciembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04787/2015, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 4 de enero de 2016, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. ha presentado, en fecha 25 de enero de 2016, recurso de reposición, con registro de entrada en esta Agencia el día 28 del mismo mes y año, fundamentándolo básicamente en que el SERGAS ha accedido a su historia clínica no para la atención sanitaria sino para una mejor gestión de los recursos humanos, acceso que no está permitido con dicha finalidad sin consentimiento de la afectada. No se ha solicitado al SERGAS que certificase los servicios desde los que se accedió a su historia clínica; si se ha hecho desde los servicios de gestión de personal y no los servicios médicos seria ilegítimo tal acceso. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En la Resolución recurrida ya se indicaba que la Conselleria de Sanidade de la Xunta de Galicia había contestado lo siguiente: 1.
- Los accesos realizados con objeto de cambiar fechas de citas de Dña. B.B.B...., están permitidos sin autorización del titular, amparados en la LOPD. 1.
- Que el tratamiento fue realizado por personal del SERGAS de administración C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 y gestión del Servicio de Admisión de este Hospital. Que los accesos para estas categorías están permitidos por el artículo 16 de la Ley 41/2002, de 145 de noviembre, básica reguladora de la autonomía del Paciente y de derechos y obligaciones en materia de información y documentación clínica y el artículo 9.-acceso por el personal de gestión y servicios- del decreto 29/2009 de 5 de febrero, por el que se regula el uso y acceso a la historia clínica. 1.
- El Hospital Clínico Universitario de Santiago a su vez tiene que cumplir el artículo 18.3 de la ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica. Derechos de acceso a la historia clínica que dice literalmente: “El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas”. Por otro lado, se indicaba que el Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica en la Comunidad Autónoma de Galicia, en el artículo 9º se refiere al acceso a la historia clínica por el personal de gestión y servicios, determinando: “El sistema IANUS permitirá el acceso a la información contenida en la historia clínica electrónica al personal de gestión y servicios. El acceso mencionado estará restringido a los datos imprescindibles para el ejercicio de sus funciones en relación con su puesto de trabajo, y respetará el derecho a la intimidad personal y familiar de los/as pacientes o usuario/as.” En consecuencia, existe una Ley que habilita el acceso a la historia clínica para la gestión de los recursos. Por tanto, no se precisaría el consentimiento del afectado para la realización de tales accesos por el personal de administración y gestión, si bien limitado a los datos necesarios para el ejercicio de sus funciones. El SERGAS sería el Servicio responsable de determinar si los accesos han excedido los datos necesarios para el ejercicio de las funciones encomendadas. Y en su respuesta ha indicado que no precisa el consentimiento de la denunciante los accesos realizados. III Por otro lado, el artículo 7.6 de la LOPD establece lo siguiente: “No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto.” La propia LOPD recoge la excepción al consentimiento cuando se tratan datos de salud para la gestión de servicios sanitarios (como es el caso denunciado: gestión de citas médicas) siempre que la persona que trate dichos datos esté sujeta a secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 IV Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la resolución de esta Agencia dictada con fecha 23 de diciembre de 2015, en el expediente de actuaciones previas de inspección E/04787/
- SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es