Siempre que acudimos a recibir
algún tipo de prestación sanitaria nos gusta saber que tenemos buenos
profesionales en este ámbito que nos aseguran una prestación de calidad junto
con un tratamiento confidencial y seguro
de toda la información que se genera, ya que estamos ante datos de carácter
sensible. Datos que están sometidos no sólo a normativa de protección de datos,
sino también a normativa sectorial, como la Ley 41/2002, de 14 de noviembre,
básica reguladora de la autonomía del paciente y de derechos y obligaciones en
materia de información y documentación clínica, y los profesionales sanitarios
también por el Código Deontológico Médico.
Al respecto, la Agencia de
Protección de Datos Española, en el desarrollo de sus funciones, publicó
recientemente una guía con aspectos fundamentales en este tipo de tratamientos.
Puede acceder a esta guía en el siguiente enlace (guía).
Dentro del conjunto de datos que
se tratan en este sector se puede diferenciar datos identificativos,
como nombre, DNI, tarjeta sanitaria; y datos relativos a la salud, que
define el RGPD como “datos personales relativos a la salud física o mental
de una persona física, incluida la prestación de servicios de atención
sanitaria, que revelen información sobre su estado de salud”, es decir,
pruebas diagnósticas o medicamentos recetados. También hay que incluir datos
genéticos “datos personales relativos a las características genéticas
heredadas o adquiridas de una persona física que proporcionen una información
única sobre la fisiología o la salud de esa persona, obtenidos en particular
del análisis de una muestra biológica de tal persona”. Todo este conjunto
de información conforma la llamada“Historia clínica”, que define
la Ley 41/2002 como: el conjunto de documentos que contienen los datos, valoraciones
e informaciones de cualquier índole sobre la situación y la evolución clínica
de un paciente a lo largo del proceso asistencial.
Como ya sabemos, todo tratamiento
de datos requiere de una base legitimadora. En este caso, nos podemos
encontrar varias: además del consentimiento, p.e., si acudimos
voluntariamente a participar en un estudio de investigación o desarrollo
médico, la legitimación puede ser por cumplimiento y ejecución de contrato,
Art. 6.1.b) del RGPD (en el caso de acudir mediante prestación de servicios de
seguros privados de salud); por cumplimiento de obligación legal, art
6.1.c), (la prestación de sanidad pública); para proteger intereses vitales
del interesado, art 6.1.d), (p.e. porque no esté capacitado para dar su
consentimiento al tratamiento médico); e, incluso, como recoge el art 6.1.e)
para el cumplimiento de misión en interés público, como puede ser una
amenaza grave para la salud de los ciudadanos.
¿Quién es el responsable
de tratamiento de los datos? Como en todo tratamiento, debemos ser informados
de una serie de puntos, y, entre ellos, uno fundamental es conocer quién trata
nuestros datos. Aquí nos podemos encontrar que puede ser el médico privado
al que acudamos, o el centro médico u hospital, ya sea privado o público o el
servicio de salud de la Comunidad Autónoma.
Derecho
de acceso. Por supuesto, el interesado tiene derecho a
obtener del responsable del tratamiento confirmación de si se están tratando o
no datos personales que le conciernen y, en tal caso, tiene derecho de acceso a
los datos personales y a la siguiente información conforme a la normativa de
protección de datos: copia de los datos personales, fines de tratamiento,
categorías de datos que se tratan, destinatarios de los datos, si existen
decisiones automatizadas y elaboración de perfiles, si hay transferencias
internacionales y las garantías de la misma, plazo previsto de conservación,
existencia del derecho de rectificación, supresión, limitación y oposición,
derecho a presentar una reclamación ante la AEPD.
En
el ámbito sanitario hay que tener en cuenta la Ley de Autonomía del Paciente,
que en su art. 18, establece que “El paciente tiene el
derecho de acceso, con las reservas señaladas en el apartado 3 de este
artículo, a la documentación de la historia clínica y a obtener copia de los
datos que figuran en ella. Los centros sanitarios regularán el
procedimiento que garantice la observancia de estos derechos”. Las reservas
que se mencionan hacen referencia a que no puede ejercitarse el derecho en
perjuicio de terceras personas a la confidencialidad de los datos que constan
recogidos en interés terapéutico del paciente, ni a las anotaciones subjetivas
que los profesionales sanitarios hayan podido realizar en la historia.
En
cuanto al acceso a la historia clínica de personas fallecidas los
centros sanitarios y los facultativos de ejercicio individual sólo facilitarán
el acceso a la historia clínica de los pacientes fallecidos a las personas
vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo
hubiese prohibido expresamente y así se acredite.
Derecho de rectificación y
supresión: en materia sanitaria el ejercicio de estos derechos queda
marcado por la peculiaridad del tipo de información. Así como no hay
especialidad en cuanto a rectificar datos identificativos del paciente, como
nombre o dirección, sí la hay en cuanto a los datos de salud, ya que es el
profesional sanitario el que determina si debe rectificarse. Lo mismo
ocurre en cuanto al derecho de supresión, muy limitado en este ámbito, ya que
debemos tener en cuenta que el uso de estos datos es para la prestación de
asistencia sanitaria adecuada al paciente, por interés público, cumplimiento de
obligación legal, tratamientos epidemiológicos, etc.. Por ello, al igual que
antes, es el profesional sanitario el que determina si cabe la supresión.
Conservación
y Confidencialidad de la historia clínica.
Como
todo responsable de tratamiento, los centros médicos y profesionales
sanitarios, deben aplicar medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado. Ello
implica, por ejemplo, que el personal de administración, sólo pueda acceder a
los datos necesarios para llevar a cabo su trabajo. Incluso el personal
profesional sanitario sólo puede acceder a la información en el desarrollo de
sus funciones, pero no, por ejemplo, por curiosidad, ya que el acceso
ilícito a esta información podría suponer un delito de descubrimiento y
revelación de secretos. Además, hay un deber de secreto profesional,
que queda recogido en el art. 16.6. LAP: “el personal que
accede a los datos de la historia clínica en el ejercicio de sus funciones
queda sujeto al deber de secreto.” Incluso, como recoge el art 16 de la LAP,
en caso de tener que acceder por razones de interés público o judicial, se
anonimizará la identidad del paciente: “El acceso a la historia clínica
con fines judiciales, epidemiológicos, de salud pública, de investigación o de
docencia, se rige por lo dispuesto en la legislación vigente en materia de
protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de
Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia
clínica con estos fines obliga a preservar los datos de identificación personal
del paciente, separados de los de carácter clínico asistencial, de manera que,
como regla general, quede asegurado el anonimato, salvo que el propio paciente
haya dado su consentimiento para no separarlos.”
Para finalizar, y en cuanto a la conservación
de la historia clínica, según el art. 19.4 del Decreto
38/2012, de 13 de marzo, sobre historia clínica y derechos
y obligaciones de pacientes y profesionales de la salud en materia de
documentación clínica, la historia clínica deberá conservarse en las
condiciones que garanticen la autenticidad, integridad, confidencialidad,
preservación y correcto mantenimiento de la información asistencial registrada,
y que asegure una completa posibilidad de reproducción en el futuro, todo ello
durante el tiempo en que sea obligatorio conservarla e independientemente del
soporte en que se encuentre, que podrá no ser el original. En cuanto al plazo de conservación de la
información, vemos que no establece un tiempo máximo de guarda, sino un
tiempo mínimo, ya que según establece la LAP en su art.17: “Los centros
sanitarios tienen la obligación de conservar la documentación clínica en
condiciones que garanticen su correcto mantenimiento y seguridad, aunque no
necesariamente en el soporte original, para la debida asistencia al paciente durante
el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la
fecha del alta de cada proceso asistencial.”
Sin embargo, hay que tener en
cuenta la existencia de numerosas excepciones en este sentido, ya que se
establecen períodos distintos de conservación por la normativa de las CCAA.
Miguel Pérez Wilk
Abogado Asociado Senior
