1/8 Expediente nº.: EXP202201740 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por Dª A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 21 de julio de 2022, y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de julio de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202201740, en la que se acordó estimar la reclamación del ejercicio de derechos formulada por Dª A.A.A. contra CONSEJERÍA DE DERECHOS SOCIALES Y BIENESTAR DEL PRINCIPADO DE ASTURIAS. SEGUNDO: La resolución ahora recurrida fue notificada fehacientemente a la parte recurrente el 24 de julio de 2022, según consta en el acuse de recibo que figura en el expediente. TERCERO: La parte recurrente ha presentado en fecha 21 de agosto de 2022 en esta Agencia Española de Protección de Datos, recurso de reposición, en el que manifiesta que, una vez recibida la respuesta de la Consejería de Derechos Sociales y Bienestar del Principado de Asturias como cumplimentación a la resolución ahora recurrida, no considera atendidas sus solicitudes, y hace un resumen preliminar de su reclamación reiterando, en síntesis: - - - que no se le ha informado de “(…) quién, cuándo y con qué fin se solicitó tal informe, a quién se dirigió tal solicitud, incluyendo el documento de interconsulta profesional preceptivo (…)”, que le han contestado de forma genérica a que “Se me informe con todo detalle de las medidas de seguridad se han establecido con el mismo desde un inicio”, que no le contestan a “Se me informe de cuántas copias se han hecho de nuestro informe, y en qué dependencias y soportes (incluyendo notas internas, carpetas…) se custodian, y además si está escaneado, en cuántos ficheros digitales y ordenadores figura, y de si estos ficheros están comunicados a la AEPD” que, en cuanto a que “Se me informe cuántas personas han accedido a tal informe, su identidad, cuándo, la finalidad de cesión o acceso (de forma clara y no genérica, según las instrucciones de la AEPD), y su titulación” no ha recibido respuesta concreta, salvo para especificar la entrega del expediente ***EXPEDIENTE.1 a su abogada en 2018. Que no ha recibido respuesta concreta a “Se me informe con detalle de cuántos traslados se han hecho con el original o copias del mismo (origen, destino…)”. Que tampoco ha recibido respuesta a su petición de “Se incoe procedimiento sancionador a todos los trabajadores que hayan realizado accesos indebidos, independientemente de los procedimientos civiles y/o penales que yo pueda iniciar”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 - - “Respecto a mi legítima duda sobre autenticidad del informe. Consideran que no ha lugar a plantear la duda porque “En apariencia” es auténtico.” No se hace mención ni a su derecho de oposición ni al de rectificación. En cuanto al derecho de supresión, “(…) Es a lo único que contestan, diciendo que no procede porque tienen derecho a usarlo para su propia defensa con fines judiciales ante reclamaciones, amparándose en el artículo 17.1 de RGPD.” Derechos fundamentales y constitucionales vulnerados: o o o o o artículo 18 de la Constitución Española (CE), “El uso de un informe clínico sin consentimiento ni sometimiento a consideración judicial, con la divulgación de comunicaciones telefónicas privadas (o su contenido), supone una Intromisión ilegítima en la intimidad personal, que no está permitida salvo si están acordadas por la autoridad competente de acuerdo con la Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (art. 8.1). Sólo por «imperativos de interés público» sería legal, circunstancia que no se da. LAP destina el art. 7 a la regulación del derecho a la intimidad.” artículo 15 de CE “por vulneración, como poco, de la integridad moral o psicológica”, artículo 24 de CE “(…) porque nos están denegando el derecho a obtener la tutela judicial efectiva de los jueces y tribunales en el ejercicio de sus derechos de protección de nuestros datos e intimidad, sumiéndonos en indefensión”, artículo 24 de CE “Porque nos están denegando el derecho a obtener la tutela efectiva de los jueces y tribunales en el ejercicio de sus derechos de protección de nuestros datos e intimidad, sumiéndonos en indefensión”. artículo 14 de CE “Considero que han actuado y actúan con la premisa de que, dado que mi padre era una persona dependiente, y residente en la institución pública, pueden disponer y usar toda su información íntima, eludiendo todos los procedimientos que garantizan su protección, custodia y mantenimiento de la integridad, veracidad y actualización de la misma, (…). En resumen, la situación se da bajo la base de la discriminación de las personas dependientes (=situación personal) institucionalizadas (=situación social). “ artículo 43 de CE, “sobre protección de la salud. La legislación española ha establecido la historia clínica como un elemento central y básico para conocer y proteger la salud de las personas. La desintegración, desactualización, o pérdida de exactitud en la misma da lugar a la desprotección de la salud de los titulares.” FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, hay que recordar lo dispuesto en la resolución ahora recurrida: “SÉPTIMO: El procedimiento de derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente procedimiento, sólo se analizarán y valorarán los posibles incumplimientos de dichos derechos, quedando fuera del mismo el resto de cuestiones planteadas por la parte reclamante durante el período de alegaciones, como es una posible brecha de seguridad. Si la reclamante considera que se ha producido alguna brecha de seguridad puede presentar ante esta Agencia una denuncia por tal motivo, aportando toda la documentación justificativa de la misma para que se valore, y en caso de que procediese, su posterior tramitación por esta Agencia, sin que se prejuzgue el resultado de la misma. En el supuesto aquí analizado, del examen de la documentación aportada por las partes, y por lo que al presente procedimiento interesa: - Respecto al derecho de acceso a la historia clínica, hay que tener en cuenta lo dispuesto en el artículo 15 de la LAP anteriormente transcrito, en el que se indican los documentos o los procesos asistenciales a los que se puede acceder, sin que entre ellos figure que se haya de facilitar quien ha accedido a su historia clínica y los motivos de ese acceso. Parece desprenderse que una de las pretensiones de la reclamante es que se le informe sobre la legitimación de los accesos realizados al informe sobre el que ejercita el derecho de acceso. Pretensión que queda fuera del objeto del derecho de acceso a los datos personales. Examinada la respuesta emitida por la parte reclamada, ésta indica que no existe ningún inconveniente desde ese organismo en facilitárselo, como así ha sido en ocasiones anteriores. No obstante, no se aporta prueba documental alguna que permita considerar que haya contestado expresamente a la parte reclamante atendiendo el citado derecho, o denegando motivadamente el mismo. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Por ello, procede estimar la reclamación respecto del derecho de acceso a los datos personales contenidos en la historia clínica. - Respecto al “ejercicio del derecho de RECTIFICACIÓN u OPOSICIÓN o SUPRESIÖN del siguiente documento que está- como mínimo- en una o varias dependencias del ERA: la(
- s)copia(
- s)-no autenticadas conforme al art. 27 de la LPRAC-, y original en su poder, si existe, de INFORME DE SALUD de fecha 30 de junio de 2015”, la parte reclamada señaló que, dado el tiempo transcurrido desde el fallecimiento del padre de la reclamante, está en condiciones de estimar su solicitud de cancelación. Posteriormente, ha manifestado que no procede la supresión de ningún documento médico que forme parte de la historia clínica del padre de la reclamante mientras siga abierto un procedimiento judicial en el que la historia clínica forma parte del expediente administrativo. No obstante, el organismo reclamado no ha aportado prueba documental alguna que acredite que ha contestado expresamente a la reclamante certificando o denegando motivadamente la supresión practicada la misma. Por ello, procede estimar la reclamación respecto del derecho de supresión. En cuanto a las manifestaciones de la reclamante sobre sus dudas respecto a la autenticidad del informe elaborado por un profesional sanitario, hay que señalar que esta Agencia no es competente para valorar dicha autenticidad, ni de la información recogida en el mismo, debiendo la reclamante dirigirse a las instancias correspondientes competentes en la materia.” En cuanto a la información sobre las personas que han accedido a la Historia clínica, habría que indicar que el artículo 15 del RGPD, dispone lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. (...).” Este precepto reconoce el derecho de la persona afectada o interesada a solicitar y a obtener del responsable del tratamiento una copia de sus datos de carácter personal sometidos a tratamiento, incluida determinada información sobre este tratamiento y por lo que aquí interesa a los destinatarios a quienes se hayan comunicado o se prevean comunicar los datos personales (artículo 15.1.
- c)RGPD). El artículo 4.9 del RGPD considera destinatario a "la persona física o jurídica autoridad pública, servicio u otro organismo al que se comunican datos personales, se trate o no de un tercero. (...)" . El RGPD no contiene una definición de lo que hay que entender por "comunicación", parece evidente que no pueden considerarse como tales los accesos del personal del propio responsable (el Hospital, en el caso que nos ocupa), dado que este personal forma parte del responsable. Sólo cuando la información salga del ámbito del responsable se podrá considerar que estamos ante una comunicación de datos. Sentado lo anterior debe resaltarse que el artículo 12.5 de la LOPDGDD determina que “Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.” Por su parte, el artículo 15 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (LAP), en sus apartados 1 a 3 lo siguiente: “1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente:
- a)La documentación relativa a la hoja clínico-estadística.
- b)La autorización de ingreso.
- c)El informe de urgencia.
- d)La anamnesis y la exploración física.
- e)La evolución.
- f)Las órdenes médicas.
- g)La hoja de interconsulta.
- h)Los informes de exploraciones complementarias.
- i)El consentimiento informado.
- j)El informe de anestesia.
- k)El informe de quirófano o de registro del parto.
- l)El informe de anatomía patológica.
- m)La evolución y planificación de cuidados de enfermería.
- n)La aplicación terapéutica de enfermería. ñ) El gráfico de constantes.
- o)El informe clínico de alta. Los párrafos b), c), i), j), k), l), ñ) y
- o)sólo serán exigibles en la cumplimentación de la historia clínica cuando se trate de procesos de hospitalización o así se disponga. 3. Cuando se trate del nacimiento, la historia clínica incorporará, además de la información a la que hace referencia este apartado, los resultados de las pruebas biométricas, médicas o analíticas que resulten, en su caso, necesarias para determinar el vínculo de filiación con la madre, en los términos que se establezcan reglamentariamente.” Debe indicarse que la LAP tiene consideración de legislación básica, por lo que si en la norma autonómica que regule la materia se determina un contenido adicional deberá estarse a lo indicado en dicha norma. Sin embargo, la Ley 7/2019, de 29 de marzo, de Salud del Principado de Asturias dispone en su artículo 58, relativo a los derechos relacionados con la documentación sanitaria que sin perjuicio de los derechos reconocidos en la Ley 41/2002, de 14 de noviembre, los pacientes tienen derecho a:
- b)Acceder a su historia clínica y a obtener los informes y resultados de las exploraciones que sobre su estado de salud o enfermedad se incluyan en la misma, así como una copia de dichos documentos, en los términos establecidos en la Ley 41/2002, de 14 de noviembre, y en la legislación sobre protección de datos de carácter personal. Por tanto, ni el RGPD ni la normativa sectorial contemplan que el acceso a la Historia clínica comprenda el acceso a la información sobre la identidad de las personas que han accedido a ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En cuanto al derecho de supresión, como ya se indicaba en la resolución ahora recurrida, el artículo 17.3 del RGPD establece que no procederá la supresión cuando el tratamiento sea necesario:
- e)para la formulación, el ejercicio o la defensa de reclamaciones. III Conclusión Examinado el recurso de reposición presentado por la interesada, no aporta hechos ni argumentos jurídicos nuevos que permitan reconsiderar la validez de la resolución impugnada, por lo que procede acordar su desestimación. Si la pretensión de la recurrente es la protección de su derecho al honor y a la propia imagen, el cauce adecuado no se encuentra en la normativa de protección de datos de carácter personal, sino, en su caso, en la Ley Orgánica 1/1982, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. No es la Agencia el órgano competente para la tutela del derecho supuestamente lesionado, por lo que deberá dirimirse y resolverse por las instancias correspondientes. En este sentido hay que tener en cuenta lo dispuesto en la Sentencia de la Audiencia Nacional de 24 de febrero de 2011, en cuyo fundamento jurídico tercero se expone: «En este caso es necesario comenzar desvinculando la materia de protección de datos de la relativa al derecho al honor y ello pues para la protección de este derecho existe un procedimiento específico de reclamación previsto en la Ley Orgánica 1/1982 de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen cuyo artículo 1 establece que "El derecho fundamental al honor, a la intimidad personal y familiar y a la propia imagen, garantizado en el artículo 18 CE, será protegido civilmente frente a todo género de intromisiones ilegítimas, de acuerdo con lo establecido en la presente ley orgánica". La LOPD se aplica en los supuestos en los que se hace necesario someter a determinados controles el empleo de los datos personales para evitar usos inconsentidos, excesivos o destinados a fines contrarios a los recogidos o el tratamiento de los datos sin la información precisa etc. Todo esto se protege en un ámbito jurídico que es diferente a la divulgación de informaciones atentatorias a determinados derechos fundamentales como son el honor ó el derecho a la propia imagen. La separación de ambos sistemas de protección se aprecia, también, por el hecho de que los preceptos que se aplican en ambos casos son diferentes y, además, los procedimientos previstos para la reacción ante la violación de uno y otro ámbito del ordenamiento jurídico también son diferentes. En aquellos supuestos en los que se produce una colisión entre el derecho a la protección de datos y el derecho a la libertad de información contenido en el artículo 20 de la Constitución la prevalencia de la libertad de información resulta evidente siempre que se cumplan los requisitos de veracidad y relevancia pública que exige la jurisprudencia del Tribunal Constitucional según una jurisprudencia muy uniforme cuyos principios básicos se recogen en la STC 53/2006.» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el artículo 24 de la LPACAP el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 21 de julio de 2022, en el expediente EXP202201740. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. 186_261022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es