RESOLUCIÓN POR LA QUE SE APRUEBA LA RECOMENDACIÓN
2/2004 SOBRE CUSTODIA, ARCHIVO Y SEGURIDAD DE LOS DATOS DE
CARÁCTER PERSONAL DE LAS HISTORIAS CLÍNICAS NO INFORMATIZADAS.
RESOLUCIÓN de 30 de julio, del Director de la Agencia
de Protección de Datos de la Comunidad de Madrid, por la que se aprueba la
Recomendación 2/2004 sobre custodia, archivo y seguridad de los datos de
carácter personal de las historias clínicas no informatizadas. ()
La Ley 41/2002, de 14 de noviembre,
básica reguladora de la autonomía del paciente y de derechos y obligaciones en
materia de información y documentación clínica, haciéndose eco del Convenio del
Consejo de Europa para la protección de los derechos humanos y la dignidad del
ser humano respecto de las aplicaciones de la biología y la medicina (Convenio
sobre los derechos del hombre y la biomedicina), suscrito el día 4 de abril de
1997 y que ha entrado en vigor en el Reino de España el 1 de enero de 2000, así
como de la Recomendación de 13 de febrero de 1997, del Consejo de Europa,
relativa a la protección de los datos médicos, establece como su primer
principio básico que la dignidad de la persona humana, el respeto a la
autonomía de su voluntad y a su intimidad orientarán toda la actividad
encaminada a obtener, utilizar, archivar, custodiar y transmitir la información
y la documentación clínica.
Esta norma entró en vigor en el mes de
mayo de 2003 y se puede decir que a partir de ese momento es la norma de
referencia en España que completa las previsiones de la Ley General de Sanidad,
definiendo y regulando la historia clínica, sin perjuicio de que en cada
Comunidad Autónoma con competencias en materia sanitaria se pueda completar
dicho texto legal. Por lo que afecta a la Comunidad de Madrid y con el objetivo
de completar este marco normativo, está constituido en el seno de la Consejería
de Sanidad y Consumo un Grupo de Expertos en Información y Documentación
Clínica que está analizando diferentes aspectos a incorporar en esta nueva Ley
autonómica, aspectos tales como el acceso a la documentación clínica, uso
profesional de la historia clínica, acceso de los pacientes y de otras
entidades, circulación intrahospitalaria y extrahospitalaria.
No obstante, en la actualidad hay que
acudir a la Ley 12/2001, de 21 de diciembre, de Ordenación Sanitaria de la
Comunidad de Madrid, que establece como principios de la organización y
funcionamiento del Sistema Sanitario de la Comunidad de Madrid, la orientación
al ciudadano como persona, su autonomía y la garantía de los derechos a la
intimidad y a la protección de datos de carácter personal.
De acuerdo con el Capítulo V de la Ley
41/2002, de 14 de noviembre, la historia clínica tiene como fin principal
facilitar la asistencia sanitaria, es un instrumento destinado fundamentalmente
a garantizar una asistencia adecuada al paciente, que comprenderá el conjunto
de documentos relativos a los procesos asistenciales de que sea objeto, e
incorporará la información que se considere trascendental para el conocimiento
veraz y actualizado del estado de salud del paciente. Por otra parte, en dicho
texto legal se insiste, se refuerza y remarca el reconocimiento del derecho de
toda persona a que se respete el carácter confidencial de los datos referentes
a su salud, y a que nadie pueda acceder a ellos sin previa autorización
amparada por Ley, estableciendo como principios básicos de la actividad
encaminada a obtener, utilizar, archivar, custodiar y transmitir la información
y documentación clínica, la dignidad de la persona, el respeto a la autonomía
de la voluntad y la intimidad.
Pero, además, la historia clínica es la
fuente de información necesaria para otros muchos fines para los que debe ser
útil, entre los que se enumeran los judiciales, epidemiológicos, de salud
pública, de investigación o de docencia, todos ellos legítimos y constitutivos
de actuaciones fundamentales del Sistema Sanitario, y en función de los cuales
la referida Ley también procede a la regulación de su contenido, archivo,
tratamiento y uso.
En esta medida hay que entender que los
datos personales contenidos en todos los documentos e información que forma
parte de la historia clínica, sin perjuicio de las previsiones legales
anteriores, están amparados y protegidos muy especialmente por la Ley Orgánica
15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que
los define en su artículo 7 como datos especialmente protegidos, dado que son
datos de salud de los ciudadanos, estableciendo un régimen especialmente
riguroso para su obtención, custodia y eventual cesión.
En consecuencia, los datos personales
relativos a la salud que forman parte de la historia clínica van a constituir
parte de un fichero informático o manual estructurado que va a estar conformado
por el conjunto de historias clínicas de cada centro asistencial, cuyo
tratamiento y uso entra dentro del ámbito de aplicación de la Ley Orgánica
15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, todo
ello, de conformidad con lo previsto en su artículo 2, al establecer que la
presente Ley será de aplicación a los datos de carácter personal registrados en
soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de
uso posterior de estos datos por los sectores público y privado.
Partiendo de esta premisa, es decir, de la existencia
de ficheros estructurados, bien de forma manual o bien de forma informatizada,
que contienen todas las historias clínicas de cada centro asistencial, y con
independencia de que el futuro es tender hacia la historia clínica
informatizada en la medida que, presumiblemente, a través de ella se va a
posibilitar una mayor seguridad con la aplicación del Real Decreto 994/1999, de
11 de junio, que aprueba el Reglamento de Medidas de Seguridad de los ficheros
automatizados que contengan datos de carácter personal, sin embargo, hoy en día
todavía son muchos los centros asistenciales, tanto en la Comunidad de Madrid
como fuera de ella, que no cuentan con procedimientos automatizados para la gestión
completa de las historias clínicas y siguen utilizando en su mayor parte el
tratamiento manual para dicha gestión. Esta circunstancia implica la necesidad
de que se vayan implantando protocolos de actuación para garantizar que la
confidencialidad de los datos de salud no se vea vulnerada por personas no
autorizadas, para evitar que esta información y documentación sea cedida a
terceros sin las debidas garantías y previsiones legales para establecer
medidas de custodia y archivo; en definitiva, se tratará de protocolos
orientados a proteger la intimidad de los pacientes, todo ello teniendo en
cuenta además que el referido Reglamento de Medidas de Seguridad está destinado
a los ficheros y tratamientos informatizados.
La Ley 8/2001, de 13 de julio, de Protección
de Datos de Carácter Personal en la Comunidad de Madrid, establece que la
Agencia de Protección de Datos de la Comunidad de Madrid ejercerá la función de
control sobre los ficheros de datos de carácter personal creados o gestionados,
entre otros, por las instituciones de la Comunidad de Madrid y por los órganos,
organismos, entidades de derecho público y demás entes públicos integrantes de
su Administración Pública (artículo 2), por lo que todos los centros
asistenciales dependientes del IMSALUD y de la Consejería de Sanidad y Consumo
de la Comunidad de Madrid están dentro del ámbito de aplicación de dicha Ley.
La Agencia de Protección de Datos de la
Comunidad de Madrid, teniendo en cuenta que la mayoría de los ficheros y
tratamientos de datos de historias clínicas de los referidos centros
asistenciales están en funcionamiento con anterioridad a la entrada en vigor de
la Ley Orgánica 15/1999, de 13 de diciembre, y de conformidad con la función
que tiene reconocida en el artículo 15.d) de la Ley 8/2001, de 13 de julio,
de Protección de Datos de Carácter Personal en la Comunidad de Madrid,
considera conveniente el realizar una serie de recomendaciones sobre medidas de
custodia y archivo de historias clínicas no informatizadas, para que desde la
óptica de la protección de datos sirvan de ayuda y referencia a los centros e
instituciones públicas sanitarias de la Comunidad de Madrid, teniendo en cuenta
tanto la peculiaridad de los ficheros manuales de datos de carácter personal
como el hecho de que la Ley Orgánica 15/1999, de 13 de diciembre, establece en
su disposición adicional primera un período de doce años, a contar desde el 24
de octubre de 1995, para que los ficheros y tratamientos no automatizados se
adecuen a dicha Ley Orgánica, sin perjuicio del ejercicio de los derechos de
acceso, rectificación y cancelación por parte de los afectados.
Esta recomendación no tiene carácter
normativo, sino que es un documento programático, en la medida en que pueda
servir como punto de referencia a tener en cuenta por los poderes públicos en
materia sanitaria de la Comunidad de Madrid. No tiene más objeto que el de
intentar aclarar aquellas dudas que, desde la perspectiva de la protección de
datos, se les pueden plantear en relación con la custodia y el archivo de la información
de carácter personal que consta en las historias clínicas no informatizadas de
los distintos centros sanitarios de la Comunidad de Madrid.
En consecuencia y en uso de las
funciones que tiene atribuidas por Ley, la Agencia de Protección de Datos de la
Comunidad de Madrid recomienda:
Primero.- Archivo
y custodia del fichero de historias clínicas
1. Responsable del fichero de historias
clínicas.
Atendiendo a la definiciones que tanto
la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter
Personal (en adelante LOPD), como la Ley 8/2001, de 13 de julio, de
Protección de Datos de Carácter Personal en la Comunidad de Madrid (en
adelante LPDCM), recogen sobre el responsable del fichero, éste es quien decide
sobre la finalidad, contenido y uso del tratamiento, por lo que, en principio,
la responsabilidad del archivo y gestión del fichero de historias clínicas será
de la dirección del centro sanitario, ello sin perjuicio de que tal y como
prevé la Ley 41/2002, de 14 de noviembre, en aquellos centros con pacientes
hospitalizados o que atiendan a un número suficiente de pacientes bajo
cualquier modalidad asistencial, la gestión y custodia del fichero se
encomiende a una Unidad de Admisión y Documentación Clínica (en adelante UNADC)
que deberá crearse en cada uno de los centros en que exista un fichero de
historias clínicas.
No obstante, sería recomendable, en los
términos que prevea la legislación autonómica y lo desarrolle la Consejería de
Sanidad y Consumo a la que corresponde la organización del sistema sanitario
público de la Comunidad de Madrid, que en aquellos centros sanitarios que no
encajen en el apartado anterior, se creasen, si es posible, servicios
equivalentes que se encargasen del archivo y custodia de la historia clínica
2. Criterios de archivo.
Los criterios básicos de archivo están
contenidos en la Ley 41/2002, de 14 de noviembre, básica reguladora de la
autonomía del paciente y de derechos y obligaciones en materia de información y
documentación clínica (en adelante Ley 41/2002), y así se regula que cada
centro archivará las historias clínicas de sus pacientes, cualquiera que sea el
soporte papel, audiovisual, informático o de otro tipo en el que consten, de
manera que quede garantizada su seguridad, su correcta conservación, la
recuperación de la información y se posibilite el ejercicio de los derechos que
se reconocen al interesado.
Por otra parte, cada historia clínica
se llevará con criterios de unidad y de integración en cada institución
asistencial como mínimo para facilitar el mejor y más oportuno conocimiento por
los facultativos de los datos de un determinado paciente en cada proceso
asistencial. Se promoverá la máxima integración posible de las historias
clínicas, existiendo, como máximo, un único fichero en cada centro.
Segundo.- Seguridad
del fichero de historias clínicas
1. Documento de seguridad.
Todas las medidas de seguridad a
implantar por cada centro asistencial en relación con la custodia y accesos al
fichero de historias clínicas deberán garantizar la confidencialidad de los
datos contenidos en ella y evitar accesos no autorizados, controlando quién
está utilizando la historia desde su salida del fichero hasta su devolución.
Estas medidas deberán estar documentadas necesariamente por escrito, siendo responsabilidad
de cada centro la elaboración de este documento y su difusión y conocimiento
por todo el personal que pueda tener participación en la gestión, manejo o
utilización de las historias clínicas.
2. Obligaciones del personal.
Para fijar las obligaciones del
personal de cada centro, habrá que distinguir entre los profesionales de la
sanidad que asistirán al paciente, del personal de administración y gestión,
señalando que con carácter general ambos están obligados por el deber de
secreto, deber que con carácter genérico y respecto de los datos de carácter
personal viene previsto en el artículo 10 de la LOPD y en el artículo 11 de la
LPDCM.
Los profesionales asistenciales que
realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia
clínica completa de éste, como instrumento fundamental para su adecuada
asistencia.
El personal de administración y gestión
de los centros e instituciones sanitarias sólo podrá acceder a los datos de la
historia clínica relacionados con sus propias funciones que podrán estar
relacionadas, por ejemplo, con la admisión del paciente, cita previa, funciones
contables y presupuestarias, etcétera.
No obstante, le corresponderá a la
Comunidad de Madrid establecer a través de la Ley, el procedimiento de adaptación
y diferenciación de accesos a la historia clínica.
3. Relación de personal autorizado.
En la UNADC o Servicio equivalente que
gestiona el fichero de historias clínicas, debería constar una relación
detallada de todo el personal con posibilidad de acceso a las historias
clínicas. El detalle de la relación anterior se podría hacer de forma
nominativa o por perfiles profesionales, diferenciando, siempre que fuera
posible, entre el personal profesional sanitario y el personal administrativo,
y también qué documentos son accesibles por ambos, teniendo en cuenta lo
señalado en el apartado anterior. A través de dicha relación, la UNADC o
Servicio equivalente autorizará o no el acceso a los documentos de la historia
clínica.
A estos efectos, se recomienda que se
archive separadamente toda la documentación clínica que forma parte del
contenido de la historia clínica y que viene perfectamente detallada en el
artículo 15 de la Ley 41/2004, de toda la documentación administrativa que,
aunque no forma parte de la historia clínica, sin embargo la gestión de la
historia puede generar, como por ejemplo, las hojas de admisión, hojas de cita
previa, documentos contables, facturación, costes económicos de las pruebas,
etcétera.
4. Control de acceso físico al archivo.
Únicamente el personal destinado en la
UNADC o Servicio equivalente es el que podrá tener acceso a los locales donde
esté ubicada dicha Unidad, estableciendo a estos efectos las medidas de control
necesarias. Estas medidas de control deberán prever la excepcionalidad de
posibles situaciones de urgencia en las que habrá que utilizar los medios
necesarios para evitar el peligro que se puede ocasionar a las personas y
bienes muebles, entre los que se encuentra la posibilidad de acceso a personas
ajenas a estas dependencias (bomberos, servicios de emergencia, policía
etcétera). Por otra parte el personal de limpieza o de mantenimiento que pueda
acceder a estos locales con carácter general, debería acceder dentro de los
horarios de trabajo del personal propio de la UNADC o Servicio equivalente.
Igualmente, los locales deberán contar
con los medios de seguridad necesarios que eviten los riesgos que se puedan
producir como consecuencia de incidencias fortuitas o intencionadas, tales como
incendios, fugas de agua, etcétera. A estos efectos podrán instalar detectores
de incendios, extintores de incendios debidamente señalizados, armarios
ignífugos para el archivo de los documentos, etcétera.
5. Gestión de los documentos que
constan en la historia clínica.
A estos efectos, se entiende
conveniente diferenciar dos momentos de la historia clínica, y así el primer
momento sería aquel en que la historia clínica está activa y que la Ley
entiende que deberá conservarse para la debida asistencia al paciente durante
el tiempo adecuado en cada caso y, como mínimo, cinco años desde la fecha de
alta de cada proceso asistencial. El segundo momento sería cuando ha
transcurrido el plazo anterior y la historia clínica se convierte en pasiva,
pero sin embargo se debe de conservar a efectos judiciales de conformidad con
la legislación vigente, o cuando existan razones epidemiológicas, de
investigación o de organización y funcionamiento del Sistema Nacional de Salud.
En el primer momento las historias
clínicas deberían tener un único código identificador por centro y contener
información suficiente para identificar de forma clara a cada paciente y tratar
de evitar errores.
En el segundo momento, cuando las
historias clínicas se convierten en pasivas, se tratarían de archivar, como
regla general, separando los datos identificativos de los documentos clínicos,
de manera que se garantice el anonimato del paciente.
6. Identificación del personal externo
a la UNADC o Servicio equivalente que accede a la historia clínica y registro
de accesos.
En el momento que cualquiera de las
personas autorizadas soliciten el acceso a los datos de una historia clínica,
se constatará por la UNADC o Servicio equivalente que están autorizados y
figuran en la relación detallada del punto 3 de la presente Recomendación, así
como cuales son los datos a los que pueden acceder, facilitando el acceso y
entregando la documentación solicitada. A estos efectos se deberá mantener un
registro de entrada/salida de historias clínicas que permita conocer el código
de la historia, la fecha del acceso, el destinatario y la fecha de devolución.
Tercero .- Conservación,
expurgo y cesiones de datos de la historia clínica
1.
Conservación.
a)
Custodia por los centros.
Los
centros e instituciones sanitarias tienen la obligación de conservar la
documentación clínica en condiciones que garanticen su correcto mantenimiento y
seguridad, aunque no necesariamente en el soporte original, para la debida
asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo,
cinco años contados desde la fecha de alta de cada proceso asistencial. A estos
efectos la Comunidad de Madrid puede regular y establecer por Ley, al igual que
ya lo han realizado otras Comunidades Autónomas, un plazo superior de
conservación.
La
documentación clínica también se conservará a efectos judiciales de conformidad
con la legislación vigente. Se conservará, asimismo, cuando existan razones
epidemiológicas, de investigación o de organización y funcionamiento del
Sistema
Nacional de Salud. En este último caso, su tratamiento se hará de forma que se
evite en lo posible la identificación de las personas afectadas.
Se podrá
diferenciar dentro del fichero de historias clínicas, tal y como se recoge en
el punto 5 de la presente Recomendación, entre las que corresponden a un episodio
activo que todavía no ha concluido y aquellas que constituyen el archivo pasivo
por corresponder a episodios concluidos. Las previsiones establecidas en la
presente Recomendación serían de aplicación a cualquiera de las dos
modalidades.
b)
Custodia por terceros.
El acceso
a datos por cuenta de terceros viene regulado en el artículo 12 de la Ley
Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter
Personal, como una posibilidad de acceder a los mismos cuando dicho acceso sea
necesario para la prestación de servicios por parte de un tercero al
responsable del fichero. La particularidad de este tipo de acceso es que no
tiene la consideración de comunicación o cesión de datos, no siendo necesario
por tanto el consentimiento de los afectados para que pueda materializarse.
No
obstante, lo que sí se prevé como indispensable para que el servicio pueda
prestarse es que la realización del tratamiento por parte del tercero deberá
estar regulada en un contrato en el que se recogerán las condiciones e
instrucciones fijadas por el responsable del fichero para la prestación del
servicio, la finalidad del tratamiento y la imposibilidad de la comunicación de
los datos a otras personas distintas del prestador. Se estipularán igualmente
las medidas de seguridad que el tercero deberá implantar en el sistema de
tratamiento que utilice para la prestación del servicio.
Por lo que
se refiere a la gestión de la historia clínica no informatizada, en la
actualidad se está extendiendo entre los centros sanitarios la práctica
consistente en externalizar el tratamiento de las historias clínicas, a través
de los llamados contratos de outsourcing. Por medio de los mismos, son
entidades privadas, con personalidad jurídica distinta de la del responsable de
las historias clínicas, quienes custodian los archivos. Estas entidades
privadas no pueden subcontratar el almacenamiento de las historias clínicas.
Asimismo,
y de conformidad con lo dispuesto en el artículo 9.3 de la Ley 8/2001, de 13 de
julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid,
estos contratos de servicios de tratamiento de datos de carácter personal
deberán de ser comunicados a esta Agencia de Protección de Datos de la
Comunidad de Madrid con anterioridad a su perfeccionamiento.
2. Expurgo.
Con periodicidad anual y siguiendo los
criterios de la Comisión Central de Documentación Clínica que ha sido prevista
por el Grupo de Expertos en Información y Documentación Clínica u órgano
equivalente que se cree en la futura Ley autonómica, se realizará, por parte de
la UNADC o Servicio equivalente, una propuesta de expurgo y destrucción de los
documentos de las historias clínicas correspondientes a episodios concluidos y
que tengan una antigüedad superior al período establecido en la normativa
vigente como mínimo u obligatorio de conservación de las mismas.
Analizada la propuesta por la dirección
del centro o institución, si se autorizara la destrucción de la documentación
propuesta, ésta se realizará mediante la utilización de los medios, propios o
ajenos, suficientes y con la garantía de mantener la confidencialidad de la
información y su efectiva destrucción, siendo responsable de la misma la UNADC
o Servicio equivalente.
3. Cesiones de datos de la historia
clínica no informatizada.
La Ley 41/2002, aunque lo regula dentro
de su artículo 16 bajo la figura del acceso a la historia clínica, realmente y
bajo la óptica de la protección de datos, cuando el acceso se produce con fines
judiciales, epidemiológicos, de salud pública, de investigación o docencia, se
trataría de una cesión de datos, pues el acceso a la misma es por un tercero
diferente al centro/institución sanitaria.
Con carácter general, la LOPD establece la norma
general (artículo 11.1) referente a que los datos de carácter personal sólo
podrán ser comunicados a un tercero para el cumplimiento de fines directamente
relacionados con las funciones legítimas del cedente y cesionario con el previo
consentimiento del interesado.
Sin embargo, dicha norma general no
será de aplicación cuando exista una Ley que prevea la posibilidad de la cesión
de datos. Así, seguidamente se detallan algunos supuestos legales en los que
dentro del ámbito sanitario quebraría el principio del consentimiento para que
los datos clínicos o administrativos pudieran ser cedidos.
a)
Cesiones para realizar estudios epidemiológicos.
La LOPD,
en lo referente a las cesiones de datos para realizar estudios epidemiológicos,
establece como condición que la misma se realice según lo preceptuado por la
legislación sobre sanidad estatal o autonómica.
La Ley
41/2002, de 14 de noviembre, establece que el acceso a la historia clínica con
fines epidemiológicos, de salud pública, de investigación o de docencia obliga
a preservar los datos de identificación personal de los pacientes separados de
los de carácter clínico asistencial, de manera que como regla general quede
asegurado el anonimato, salvo que el propio paciente haya dado su
consentimiento para no separarlos.
En este
sentido, la Ley 12/2001, de 21 de diciembre, de Ordenación Sanitaria de la
Comunidad de Madrid, atribuye como función de la Autoridad en Salud Pública la
promoción de la vigilancia epidemiológica tanto de las enfermedades
transmisibles como no transmisibles, y de todos los determinantes del proceso
salud-enfermedad relacionados con la interacción del individuo con el medio,
estableciendo el artículo 55.5 de dicha Ley que para el cumplimiento de tal
fin, y con sujeción a lo establecido en la norma estatal y autonómica aplicable
a la materia de protección de datos de carácter personal, los datos relativos a
la salud serán cedidos a la Administración Sanitaria de la Comunidad de Madrid
por parte de los responsables de los ficheros, cualquiera que sea su
titularidad, cuando resulten necesarios para prevención de la enfermedad, o la
realización de estudios epidemiológicos.
b)
Cesiones a órganos jurisdiccionales.
Con
carácter específico, la propia Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal, prevé en su artículo 11.2.d) que no
será necesario el consentimiento del afectado cuando la comunicación o cesión
de datos tenga por destinatario, entre otros, a los jueces o tribunales en el
ejercicio de las funciones que tienen atribuidas.
Esta
previsión legal se recoge igualmente en la Ley 41/2002, de 14 de noviembre, y
así se regula el acceso a la historia clínica con fines judiciales
estableciendo que en estos supuestos y cuando la investigación de la autoridad
judicial se considere imprescindible, se unificarán los datos identificativos
de los pacientes con los clínicos asistenciales.
En
consecuencia, en estos supuestos se entiende necesario que la petición judicial
venga motivada y concrete los documentos de la historia clínica que sean
precisos conocer para su actuación e investigación, procediéndose por el centro
al envío de una copia de los mismos o a facilitar el acceso dentro del propio
centro.
c)
Cesiones a las fuerzas y cuerpos de seguridad.
Este es un
supuesto de cesión de datos que con carácter especifico la Ley 41/2002, de 14
de noviembre, no ha previsto, pero que sin embargo en la realidad se produce
con frecuencia.
Con
carácter general la LOPD regula esta situación de forma independiente en el
artículo 22.2 y establece que la recogida y tratamiento de datos de carácter
personal por las fuerzas y cuerpos de seguridad para fines policiales se
realizará sin consentimiento de las personas afectadas, siempre que obedezcan a
dos finalidades, como son: La prevención de un peligro real para la seguridad
pública, o la represión de infracciones penales.
Tratándose
de datos de salud, el propio artículo 22, en su apartado 3, establece que en
estos supuestos la recogida
y
tratamiento podrá realizarse exclusivamente en los supuestos en que sea
absolutamente necesario para los fines de una investigación concreta, sin
perjuicio del control de legalidad de la actuación administrativa o de la
obligación de resolver las pretensiones formuladas, en su caso, por los
interesados que corresponda a los órganos jurisdiccionales.
Esta
posibilidad de recogida y tratamiento deriva de la actividad de investigación
policial reconocida a las fuerzas y cuerpos de seguridad en la Ley Orgánica
2/1986, sobre fuerzas y cuerpos de seguridad del Estado (artículo 11).
En
consecuencia y dado que la LOPD, al tratarse de un acceso a datos de salud que
tienen la consideración de especialmente protegidos, establece que la actuación
policial debe tener un control de legalidad, se entiende que en estos supuestos
la petición policial deberá venir autorizada preferentemente por el órgano
judicial correspondiente y deberá motivarse, concretando los documentos de la
historia clínica que sean precisos conocer para la investigación, procediéndose
por el centro al envío de una copia de los mismos o a facilitar el acceso
dentro del propio centro.
d)
Cesiones a la inspección médica.
Este es
otro supuesto que estaría excepcionado del consentimiento de los pacientes para
poderse llevar a efecto, habida cuenta que viene previsto expresamente en la
Ley.
Así, la
Ley 41/2002, de 14 de noviembre, prevé en su artículo 16.4 que el personal
sanitario debidamente acreditado que ejerza funciones de inspección,
evaluación, acreditación y planificación, tiene acceso a las historias clínicas
en el cumplimiento de sus funciones. En consecuencia y una vez quede
justificada la petición de acceso se facilitará el mismo por parte del centro.
e)
Cesiones de datos para la Intervención de la Comunidad de Madrid.
En
numerosas ocasiones, los responsables de ficheros de la Comunidad de Madrid han
planteado a esta Agencia de Protección de Datos si es factible ceder datos de
carácter personal a la Intervención de la Comunidad de Madrid.
En este
caso, se ha interpretado que de conformidad con lo dispuesto en el artículo
11.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de
Carácter Personal, la habilitación para que se cedan datos personales a la
Intervención de la Comunidad de Madrid se encuentra en el artículo 82 de la Ley
9/1990, de 8 de noviembre, de Hacienda de la Comunidad de Madrid, en virtud del
cual todos los actos, documentos y expedientes de la Administración de la
Comunidad de los que se deriven derechos y obligaciones de contenido económico,
serán intervenidos y contabilizados con arreglo a lo dispuesto en dicha Ley y
en sus disposiciones complementarias, y en el artículo 83.3.c) de la citada Ley
9/1990, de 8 de noviembre, de Hacienda de la Comunidad de Madrid, que establece
como competencia inherente a la función interventora recabar de quien
corresponda, cuando la naturaleza del acto, documento o expediente que deban
ser intervenidos lo requiera, los asesoramientos jurídicos y los informes
técnicos que considere necesarios, así como los antecedentes y documentos para
el ejercicio de esta función.
f)
Cesiones de datos disociados.
Atendiendo
a la regulación prevista en la Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal, se define en el artículo 3.f) el
término de disociación como todo tratamiento de datos personales de modo que la
información que se obtenga no pueda asociarse a persona identificada o
identificable.
En este sentido, el
considerando 26 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo,
de 24 de octubre de 1995, relativa a la protección de las personas físicas en
lo que respecta al tratamiento de datos personales y a la libre circulación de
datos, establece que los principios de la protección deberán aplicarse a
cualquier información relativa a una persona identificada o identificable; que
para determinar si una persona es identificable hay que considerar el conjunto
de los medios que puedan ser razona blemente utilizados por el responsable del
tratamiento o por cualquier otra persona, para identificar a dicha persona; que
los principios de la protección de datos no se aplicarán a aquellos datos
hechos anónimos de manera tal que ya no sea posible identificar al interesado.
En la
medida que los datos personales que obran en la historia clínica no
informatizada se comuniquen de forma disociada, de tal forma que no puedan
identificarse dichos datos con una persona física concreta y determinada, dejan
de tener el carácter de dato personal y, por tanto, de conformidad con lo
establecido en el artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre,
de Protección de Datos de Carácter Personal, quedan fuera del ámbito de
aplicación de la misma, por lo que dicha información podría ser facilitada sin
contravenir por ello la legislación en materia de protección de datos.
g) Cesión
por cambio de médico y/o centro asistencial.
Cuando el
paciente ejerza su derecho a la elección o cambio de médico y/o centro, con
arreglo a los términos y condiciones que establezcan los servicios de salud
competentes, el nuevo médico responsable, con la autorización expresa y por
escrito del paciente, podrá solicitar, a través de la UNADC o Servicio
equivalente de su centro, a la UNADC o Servicio equivalente del centro de
origen, el original completo de la historia clínica de su nuevo paciente. Esta
información se incorporaría a la historia clínica abierta en el nuevo centro
que sería responsable legal de su custodia y archivo a partir de ese momento.
