Source: http://docplayer.es/7758092-Gabinete-juridico-informe-juridico-0406-2008.html
Timestamp: 2019-06-18 11:40:02+00:00

Document:
Gabinete Jurídico. Informe Jurídico 0406/ PDF
Download "Gabinete Jurídico. Informe Jurídico 0406/2008"
Agustín Marín Benítez
1 Informe Jurídico 0406/2008 La consulta plantea por una parte, si resultan conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal la comunicación de datos de salud que efectúan a la consultante los Hospitales Públicos de la Sanidad de Castilla y León ( SACYL ), compañías aseguradoras médicas, mutuas y clínicas privadas, y por otra, la comunicación posterior de estos datos por la consultante a otras empresas privadas, una entidad financiera y la Central del grupo a que pertenece. En primer lugar plantea la consultante, si el número de historia clínica del paciente o un número de control que tanto los hospitales públicos como entidades privadas la comunican para que lo haga constar en las facturas de venta de material quirúrgico (prótesis), a los únicos efectos de control de facturación y pagos del hospital o entidad que ha encargado la prótesis y debe pagar la factura y de su incorporación al Fichero Gestión Económica, constituye una disociación que excluiría la aplicación al supuesto de la Ley Orgánica 15/1999, de 13 de diciembre. De acuerdo con lo dispuesto por el artículo 3 f) de la Ley Orgánica 15/1999, se define el procedimiento de disociación de los datos personales como Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable. Esta definición se reitera en el artículo 5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se desarrolla la Ley Orgánica, donde en su apartado p) define el Procedimiento de disociación: Todo tratamiento de datos personales que permita la obtención de datos disociados Y en el apartado e) concreta que es un Dato disociado: aquél que no permite la identificación de un afectado o interesado. En consecuencia, para entender que se ha efectuado correctamente la disociación, es necesario que no se permita por ningún medio identificar al paciente. Del tenor de la consulta se desprende que cada centro médico va a otorgar un número de historia clínica a los datos de sus pacientes, quiere decir que en cada centro médico el número de historia clínica está asociado a la identidad de una persona. Pues bien, en virtud de dichos preceptos, será suficiente que exista la mera posibilidad, incluso remota, de que, mediante la utilización, con carácter previo, coetáneo o posterior de cualquier medio (proceso informático, programa, herramienta del sistema, etcétera), la información concerniente a los I
2 pacientes, que obre en poder de la consultante, pueda revelar la identidad de los afectados, para que quede plenamente sometida a la Ley Orgánica. En consecuencia, para que un procedimiento de disociación pueda ser considerado suficiente a los efectos de la Ley Orgánica 15/1999, será necesario que de la aplicación de dicho procedimiento resulte imposible asociar un determinado dato con un sujeto determinado. En este sentido, las disposiciones internacionales reguladoras de la protección de datos de carácter personal vienen a considerar que el afectado no será determinable cuando su identificación exija un esfuerzo desproporcionado que sea suficiente para disuadir a quien accede al dato de la identificación de la persona a la que el mismo se refiere. Dicho lo anterior, si a través de la información incorporada a la base de datos o Fichero Gestión Económica o de control de facturación y pagos, puede deducirse la identidad del afectado sin realizar esfuerzos desproporcionados (lo que resulta viable si pudiera establecerse una correlación entre el número de historia clínica asignado por el centro médico y la identidad del paciente nombre y apellidos,) no estaríamos ante un supuesto de disociación y estaría plenamente sometido a las disposiciones de la Ley Orgánica 15/1999. Para el caso de que en las facturas de la venta de prótesis, dichas entidades públicas o privadas exijan poner un número de control que no pueda asociarse ni remotamente con la identidad del paciente, podría considerarse como un supuesto de disociación de datos que excluiría la aplicación de la Ley Orgánica 15/1999. En consecuencia, habida cuenta de que los datos personales, si una vez disociados, pudieren volver a revelar la información concerniente a las personas afectadas por los tratamientos de datos, poniendo de manifiesto su identidad, el tipo de actuación a que se refiere la consulta no encajaría dentro de lo previsto por el citado artículo 3 f) de la Ley Orgánica 15/1999. II En cuanto a la comunicación o cesión de datos de salud, es preciso indicar que la Ley Orgánica 15/1999 establece un régimen especial para su tratamiento y, en su caso, comunicación, considerándolos datos especialmente protegidos, debiendo plantearse si existe algún supuesto en que la propia Ley Orgánica da cobertura a esa cesión. Como regla general, el artículo 7.3 de la Ley Orgánica 15/1999 dispone que los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual, sólo podrán ser recabados, tratados y cedidos cuando por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente. Este artículo determina el contenido esencial del derecho
3 fundamental a la protección de datos de carácter personal debido a su carácter orgánico. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el articulo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981, ratificado por España en fecha 27 de enero de 1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección. En este sentido, el artículo 8 de la Directiva 95/46/CE limita el tratamiento de datos a supuestos y finalidades concretos en los que será preciso el consentimiento, que además deberá ser expreso, del afectado o la necesidad del tratamiento con fines de asistencia sanitaria o atención de un interés vital del afectado. Esta cuestión ha sido especialmente analizada por el Grupo de Autoridades de Protección de Datos creado por el artículo 29 de la citada Directiva en su Documento de trabajo sobre el tratamiento de datos personales relativos a la salud en los historiales médicos electrónicos (Documento EP131), en el que se indica expresamente que todos los datos contenidos en documentos médicos, en historiales médicos electrónicos y en sistemas de HME son datos personales sensibles. Por tanto, no sólo están sujetos a todas las normas generales sobre protección de datos personales de la Directiva, sino también a las normas sobre protección de datos especiales que rigen el tratamiento de la información sensible, contenidas en el artículo 8 de la Directiva. Establecida ya por el artículo 7.3 la regla general del consentimiento para el tratamiento de los datos de salud, el artículo 7.6 establece en su párrafo primero que podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. Igualmente, conforme al párrafo segundo del propio artículo 7.6, También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital
4 del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. Respecto de lo dispuesto en el artículo 7.6, el documento WP131 del Grupo creado por el artículo 29 de la Directiva 95/46/CE recuerda que Puesto que el artículo 8, apartado 3, de la Directiva (que transpone el citado artículo 7.6)) constituye una excepción a la prohibición general de tratar datos sensibles, esta excepción deberá interpretarse de forma restrictiva. De este modo, señala que: Esta excepción cubre solamente el tratamiento de datos personales para el propósito específico de proporcionar servicios relativos a la salud de carácter preventivo, de diagnóstico, terapéutico o de convalecencia, y a efectos de la gestión de estos servicios sanitarios, como por ejemplo facturación, contabilidad o estadísticas. No se cubre el tratamiento posterior que no sea necesario para la prestación directa de tales servicios. Ahora bien, esta excepción legal del artículo 7.6, así como la del artículo 8 de la Ley Orgánica 15/1999, se refieren al tratamiento de los datos, no a su cesión. Por otra parte, en el marco de la asistencia sanitaria añade el artículo 8 que sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad. Por último, el artículo 11.2 f) de la Ley Orgánica establece la licitud de la cesión de determinados datos relacionados con la salud si la misma es necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. Entendiendo que el supuesto sometido a consulta, donde la cesión tendría una finalidad de control o gestión económica, no tendría encaje en las excepciones de los artículos 7.6, 8 y f) de la Ley Orgánica 15/1999, cabe concluir que la cesión planteada debe quedar sometida al consentimiento expreso del paciente afectado o que la misma esté autorizada por una Ley. En este sentido también se establece en el artículo del Real Decreto
5 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999 que Los datos especialmente protegidos podrán tratarse y cederse en los términos previstos en los artículos 7 y 8 de la Ley Orgánica 15/1999, de 13 de diciembre. En particular, no será necesario el consentimiento del interesado en la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud. Luego, cualquier comunicación de datos de salud a terceros ajenos a este Sistema, requerirá, como ya indicamos anteriormente que el afectado consienta expresamente la cesión o así lo permita una Ley. La falta de este consentimiento exige que los datos deban ser previamente disociados, lo que, como se indicó anteriormente podría conseguirse en el supuesto que nos ocupa, facilitando por los centros públicos o privados a la empresa consultante, no el número de historia clínica asociado a cada paciente, sino como parece que se da en algunos casos, un número de control u otra referencia que no permita identificar al paciente. En materia de historias clínicas, la única ley que resulta aplicable a su tratamiento y/o cesión es la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. En la misma se establece un régimen específico que delimita la aplicación de la Ley 15/1999 en este caso, de manera que los accesos a la historia clínica deberán ser los previstos en su artículo 16 contemplado como aplicación de la excepción al consentimiento prevista en el artículo 7.3 de la Ley Orgánica 15/1999. El artículo 16 de la Ley 41/2002 limita los supuestos de cesión de datos de la historia clínica a terceros ajenos a la asistencia sanitaria a dos supuestos y en los siguientes términos: 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico-asistencial, de manera que como regla general quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de
6 investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. Respecto al supuesto sometido a consulta, debe recordarse que el artículo de dicha Ley 41/2002 limita el acceso a la historia clínica por el personal de administración y gestión en los centros sanitarios a los datos de la historia clínica relacionados con sus propias funciones. De modo que no contempla la cesión de datos en supuestos como el consultado, y el acceso para fines de facturación y control de gastos o gestión económica, deberá limitarse única y exclusivamente a los datos que resulten imprescindibles para incorporarlos al Fichero de Gestión Económica con objeto de efectuar el pago de las prótesis que la consultante hubiera suministrado. Por otra parte, es preciso señalar que el acceso a la historia clínica, aún habilitado por lo previsto en su normativa específica reguladora, debe modularse en atención a la aplicación del principio de proporcionalidad en el tratamiento de los datos de carácter personal, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, debiendo limitarse el acceso a los datos que efectivamente resulten necesarios para el cumplimiento de la finalidad que justifique dicho acceso, sin que deba extenderse a datos no vinculados a dicha finalidad. La conclusión de cuanto antecede es que la comunicación del dato de salud ( número de historia clínica ), que le hacen a la consultante, tanto de hospitales públicos, como de entidades privadas, no se encuentra amparada por el art. 16 de la Ley 41/2002, y por consiguiente se requiere el consentimiento expreso del afectado para ajustarse a la Ley Orgánica 15/1999. En cuanto a la posterior cesión del número de historia clínica incorporado a las facturas de las prótesis, que la consultante realiza a una entidad financiera y a la Central que utiliza esas facturas para llevar la
7 contabilidad general del grupo al que pertenece la consultante, la conclusión a la que se llega es la misma, y por los mismos fundamentos que la cesión analizada anteriormente, esto es, requerirá el consentimiento expreso informado y previo del afectado, que deberá ser recabado por la propia consultante. En este sentido, el artículo 3.b) de la Ley Orgánica 15/1999 define el consentimiento del interesado como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la cual el interesado consienta el tratamiento de datos personales que le conciernen y en el artículo 11.3 dispone que Será nulo el consentimiento para la comunicación de datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. Como regla general, corresponde a quien realiza el tratamiento acreditar que ha obtenido el consentimiento del afectado debiendo arbitrar los medios necesarios para que no quepa ninguna duda de que el consentimiento ha sido efectivamente prestado. En el caso consultado debe tenerse en cuenta que el art de la Ley Orgánica establece que Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. Por consiguiente, el hecho de que las entidades que cita la consultante, le comuniquen a ésta el número de historia clínica, sin que conste que aquéllas lo hubieren obtenido previamente del afectado, la obliga en los términos regulados por la Ley Orgánica 15/1999. En este mismo sentido, el artículo 12.1 del Reglamento de desarrollo de la LOPD, Real Decreto 1720/2007, de 21 de diciembre establece que El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. Y en su número 3 dispone Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. Siendo la forma para recabar el mismo la regulada en el artículo 14 del citado Reglamento, y constituyendo una infracción grave del artículo a) de la Ley 15/1999, proceder a la recogida de datos sin el consentimiento cuando éste fuera exigible y b) Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya una infracción grave.
8 Se somete asimismo a consulta si el modela de contrato que presentan a la consultante dos de los hospitales de SACYL, encajaría en la figura descrita en el artículo 12 de la LOPD de acceso a los datos por cuenta de terceros, convirtiéndola en encargada del tratamiento. Del análisis de las cláusulas del citado documento se desprende que los hospitales encargan el tratamiento de datos de salud a la consultante con el fin de que ésta colabore en la gestión del Fichero Gestión Económica, cediéndole los datos que identifican claramente a los pacientes afectados, con lo cual cabe concluir que nos encontramos ante la figura de encargado de tratamiento. En todo caso, sería de aplicación a la empresa consultante el régimen establecido en el artículo 12 de la Ley Orgánica 15/1999 y en el Capítulo III del Título II del Reglamento que la desarrolla, caracterizado por las siguientes especialidades: a) En primer lugar, será preciso que la actuación del encargado del tratamiento se limite a la prestación de los servicios objeto de la contratación. A tal efecto dispone el artículo 20.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999 que se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. b) En lo que atañe a los requisitos formales, el artículo 12.2 de la Ley Orgánica impone que la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. c) Por lo que respecta al periodo de conservación de los datos, el artículo 12.3 establece que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. Añade el artículo 20.3 del Reglamento que no obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo. El artículo 22.1 reitera esta previsión, al indicar que una vez cumplida la prestación contractual, los datos de carácter III
9 personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. d) Por otra parte, a fin de preservar los derechos del encargado frente a posibles responsabilidades derivadas de su actuación, dispone el artículo 22.1 del Reglamento que el encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. En cuanto a las medidas de seguridad que hayan de ser adoptadas por quienes realicen trabajos de tratamiento de datos por cuenta de tercero, habrán de ser, en principio, las mismas que las impuestas al responsable del fichero, tal y como se desprende de lo previsto en los artículos 9 y 12.2 de la Ley Orgánica, detallando el artículo 82 del Reglamento el modo en que deberán implantarse las medidas. g) Por último, según el artículo 12.4, en el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente, siendo, en consecuencia, de aplicación el régimen sancionador establecido en los artículos 43 y siguientes de la Ley, sujetando el primero de ellos al encargado del tratamiento a dicho régimen. Dado que en el caso de estos dos hospitales que formalizan un contrato en los términos antedichos, lo que les convierte en responsables del tratamiento por cuanto so ellos los que deciden sobre la creación, contenido y finalidad del Fichero de Gestión Económica, corresponde a éstos y no a la consultante informar a los paciente afectados en los términos del artículo 5 de la Ley Orgánica 15/1999 previamente al tratamiento de sus datos. Todo ello en aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal.

References: artículo 3
 artículo 5
 Real Decreto 
 artículo 3
 artículo 7
 artículo 6
 artículo 8
 artículo 29
 artículo 8
 artículo 7
 artículo 7
 artículo 7
 artículo 7
 artículo 29
 artículo 8
 artículo 7
 artículo 7
 artículo 8
 artículo 8
 artículo 11
 artículo 11
 Real Decreto

 artículo 16
 artículo 7
 artículo 16
 artículo 4
 artículo 3
 artículo 11
 artículo 12
 Real Decreto 
 artículo 14
 artículo 12
 artículo 12
 artículo 20
 artículo 12
 artículo 12
 artículo 20
 artículo 22
 artículo 22
 artículo 82
 artículo 12
 artículo 5