L'AEPD es pronuncia sobre els supòsits en què es por accedir i comunicar les dades de salut de la història clínica d'un pacient per una reclamació vinculada amb l'acte assistencial - Juliol 2021

L’Agencia Espanyola de Protecció de Dades (AEPD) s’ha pronunciat recentment mitjançant un informe, arran de la consulta plantejada per un centre hospitalari, sobre la interpretació a extensió del que disposa l’article 9.2 f) del Reglament General de Protecció de Dades (RGPD, en endavant). Això és, s’ha pronunciat vers els supòsits en que es pot accedir i comunicar les dades de salut incorporades a la història clínica d’un pacient quan aquests accessos venen motivats per una reclamació, tant judicial com extrajudicial, que estigui directament vinculada a l’acte assistencial prestat per un professional sanitari d’un centre hospitalari, com podria ser el cas que un pacient interposi algun tipus de reclamació front l’actuació del professional durant l’acte assistencial. També entra a valorar la idoneïtat de que les asseguradores puguin tenir accés a les dades de la HC en aquells supòsits en que aquestes hagin de cobrir la responsabilitat del seus assegurats davant possibles reclamacions dels pacients. 

En primer lloc, cal aclarir que l’accés a una HC és una activitat de tractament d’acord amb el que disposa l’RGPD (art. 4.2). També serà una activitat de tractament la comunicació de dades que el centre faci a tercers, tals com asseguradores implicades o la pròpia autoritat judicial competent. En segon lloc, s’ha d’apuntar el fet que ens trobem davant tractaments de dades especialment protegides, ja que, d’acord amb la normativa, les dades contingudes en la HC són dades de salut (art. 4.15 RGPD). Ambdós fets, tractar dades i a més categoria especial de dades (salut) ens determina l’obligatorietat d’identificar i aplicar per a cada tractament a) una base legitimadora de les contingudes en l’article 6.1 RGPD; i b) una excepció a la prohibició general de tractament de dades de categoria especial de l’article 9.2 RGPD. D’aquesta manera, sent un requeriment general per a qualsevol tractament de dades personals, en aquest cas l’informe entra a analitzar les bases jurídiques i les excepcions dels articles 6.1 i 9.2 aplicables als accessos i comunicacions de dades fruit de les reclamacions que es puguin derivar de la praxi mèdica. 

Cal recordar que l’article llur interpretació i extensió analitza l’AEPD, l’article 9.2 f) RGPD diu el següent: “El tractament és necessari per formular, exercir o defensar reclamacions o quan els tribunals actuen en exercici de la seva funció judicial.”. És aquest article el que habilita un tractament de dades de salut d’un pacient, com podria ser un accés a la seva HC o la comunicació de dades de la seva HC a un tercer, quan tal tractament sigui necessari en el marc de l’exercici o defensa de reclamacions. 

Pel que fa als punts clau de l’informe cal destacar que l’AEPD entra a resoldre les següents qüestions plantejades en la consulta i si les mateixes entren dins l’àmbit d’aplicació del mencionat article 9.2 f) RGPD:
 

• L’accés a dades de la HC d’un pacient al qual se li ha prestat assistència sanitària per part del professional sanitari qui el va atendre amb la finalitat de preparar la seva defensa jurídica front una reclamació i si aquesta reclamació ha de ser necessàriament en via judicial per a motivar el tractament de les dades.
   
• L’accés i comunicació de dades de la HC d’un pacient per part de la companyia asseguradora que cobreix la responsabilitat civil del professional que es veu immersa en la reclamació per la seva actuació.

Primerament s’ha de començar dient que la pròpia legislació espanyola d’autonomia del pacient (Llei 41/2002, de 14 de novembre) entra a regular amb detall quins són els usos permesos de la HC. Entre d’altres, preveu clarament que a banda de per a les finalitats assistencials, la HC pot ser accedida amb finalitats judicials (art. 16.3). D’aquesta manera, pot afirmar-se que tot i que la finalitat de la HC és eminentment assistencial, estarà completament legitimat l’accés a aquesta amb finalitats judicials per part dels jutjats i tribunals competents en cada cas. A més, dit accés a les dades de la HC podrà fer-se sense codificar les dades del pacient en aquells casos en que sigui necessari que aquest aparegui clarament identificat. Vist l’anterior, no hi ha dubtes de la legitimació d’aquests organismes a accedir a les dades de la HC, fins i tot, sense preservar l’anonimat del titular de les dades quan estigui justificat. 

Un dels dubtes que motiva l’informe analitzat, és el fet que la normativa específica no entra a valorar si també es pot accedir a la HC per a reclamacions extrajudicials. És en aquest punt on cal recordar que el tenor literal de l’article 9.2 f) fa menció a “exercir o defensar reclamacions o quan els tribunals actuen en exercici de la seva funció judicial.”. Per tant, el RGPD entén que aquest accés a dades de salut, la incloent l’accés a la HC, estaria justificat tant per a reclamacions judicials com extrajudicials. 

S’ha de tindre en compte que els reglaments europeus són d’aplicabilitat directe, tal i com ho preveu el Tractament de Funcionament de la Unió Europea en el seu article 288 i, per tant, des de el moment en que l’RGPD preveu aquesta habilitació per a tractar dades de salut aquesta s’ha d’entendre ajustada a dret tot i que la normativa nacional no ho prevegi expressament. 

Amb tot, s’ha d’afirmar que l’article 9.2 f), efectivament, habilita el tractament de dades de la HC quan la reclamació és tant judicial com extra judicial, sempre que l’ús de les dades de la HC tingui una vinculació directa amb el procés assistencial prestat pel facultatiu i que posteriorment és objecte de reclamació per part del pacient. És adir, l’objecte de la reclamació que motiva l’accés a les dades de la HC ha de versar sobre l’assistència o assistències prestades pel professional. 

Un cop es pot afirmar aplicable l’excepció de tractament de dades de salut, per raó de l’article 9.2 f), en el marc d’eventuals reclamacions tant judicials com extrajudicials, s’ha d’analitzar quina és la base jurídica de l’article 6.1 que habilita aquest tractament de dades. Aquí, l’AEPD indica que estaríem davant d’un cas d’interès legítim previst a l’article 6.1 f). En aquest sentit, l’accés a la HC és necessari per a satisfer l’interès legítim d’un tercer, sent aquest tercer el professional mèdic que ha d’exercir la defensa dels seus interessos. Vist que l’accés a l’HC està correctament legitimat, no s’ha d’obviar que els centres sanitaris han de prestar especial atenció en la forma en que s’ha de permetre aquest accés. A tal efecte, el més recomanable és establir un protocol que asseguri un tractament de les dades de la HC que compleixi amb totes les garanties i principis inspiradors del RGPD. Cal, doncs, establir un procediment intern que permeti a) verificar que efectivament existeix la reclamació i que versa sobre esdeveniments vinculats al procés assistencial que consta a la HC (principi de limitació de finalitat); b) que l’accés a les dades de la HC serveix per a atendre la reclamació interposada en relació a l’acte assistencial i que no s’accedeixen a més dades de les necessàries per atendre tal reclamació (minimització); i c) disposar d’un registre d’accessos a les HC que permeti conèixer qui, com, quan i per a què s’ha produït l’accés a la HC (confidencialitat i integritat de les dades). Així doncs, el responsable del tractament, davant una reclamació d’aquesta naturalesa i previ accés a les dades de la HC, a banda de la legitimació del tractament (arts 6.1 f) i 9.2 f)), haurà d’assegurar que aquest accés compleix amb totes les garanties i principis (art. 5) que preveu l’RGPD. 

L’altre punt clau de l’informe entra a valorar la idoneïtat de l’accés a la HC amb la finalitat de comunicar les dades de salut necessàries a l’asseguradora amb la finalitat d’analitzar la responsabilitat civil del professional assistencial o del centre hospitalari vers l’acte assistencial que ha motivat la reclamació del pacient. Arran d’un breu anàlisi de la normativa sectorial aplicable al cas, els articles 16, 18 i 73 de la Llei 50/1980, de 8 d’octubre, del Contracte d’Assegurança (LCA) i l’article 99 de la Llei 20/2015, de 14 de juliol, de ordenació, supervisió i solvència de les entitats asseguradores reasseguradores (LOSSEAR), pot apreciar-se que és possible la comunicació de dades de salut dels perjudicats/reclamants per part del prenedor de l’assegurança (professional o centre) a l‘asseguradora que cobreixi la responsabilitat civil. Aquestes previsions legals reguladores del tractament de dades de salut dels perjudicats per part de les asseguradores, ens porta a poder afirmar que, novament, la comunicació d’aquestes dades per part del centre hospitalari a aquestes entitats també troba empara suficient en els disposicions del RGPD i la LOPDGDD. Concretament, el centre hospitalari podrà comunicar les dades de la HC a la asseguradora en aplicació de l’article 6.1 c) i, novament, 9.2 f) del RGPD. És a dir, per una banda, la comunicació de dades és necessària pel compliment d’una obligació legal, tal i com estableix la legislació específica descrita (LCA i LOSSEAR) i , també, en tant que el tractament de dades de salut es realitza per a “exercir o defensar reclamacions o quan els tribunals actuen en exercici de la seva funció judicial.”. L’objecte d’aquesta comunicació de dades seran les dades estrictament necessàries per que l’asseguradora pugui analitzar els fets objecte de reclamació així com per a valorar la procedència de l’abonament de la indemnització que escaigui, aplicant-se el principi de minimització de dades. 

L’accés per part del centre hospitalari a la HC del pacient objecte de reclamació, així com la comunicació de tals dades a la asseguradora, haurà de complir estrictament amb els principis inspiradors de l’article 5 RGPD delimitació de finalitat; minimització i exactitud de les dades i garantia de la confidencialitat i integritat descrits anteriorment. També, serà recomanable que el responsable del tractament disposi d’un protocol o document anàleg que prevegi una sèrie de pautes reglades per a procedir als accessos a les dades i comunicar-les complint amb totes les garanties. Per últim, fent menció específica a aquells casos vinculats a un procediment judicial, s’entra a valorar en la forma en que es pot produir l’accés a les dades de la HC per tal de dilucidar la reclamació plantejada. Pel que fa a la forma en que les dades de la HC tinguin entrada en el procediment judicial, se’n poden diferenciar tres:

1. Primerament, quan sigui la pròpia autoritat judicial que requereixi, mitjançant ofici, al centre hospitalari per tal que aporti les dades de la HC sobre la que versa la reclamació. En aquest cas, no hi ha dubtes de que el centre hospitalari ve obligat a obeir el requeriment judicial donat que si el centre no facilités la informació estaria actuant en contra del manament constitucional previst en l’article 118 de la CE. Serà necessari que la petició del jutjat estigui degudament fonamentada, es formuli per escrit i especifiqui i precisi la documentació o informació llur accés se sol·licita.
    
2. En segon lloc, pot donar-se el cas que sigui el propi titular de les dades, o la seva representació legal correctament habilitada, qui pretengui l’accés a la pròpia HC a efectes d’interposar la corresponent reclamació judicial. Novament, el centre hospitalari ha de respondre i concedir l’accés a les dades en compliment de la normativa específica de l’autonomia del pacient i en compliment dels drets d’autodeterminació informativa que l’emparen.
    

3. En tercer lloc, pot donar-se el cas que sigui el professional mèdic qui sol·liciti l’accés a les dades de la HC a efectes de defensar-se de la reclamació dirigida en contra seva, realitzant aquest accés en el marc d’un procediment judicial. Aquí, tal i com indica l’informe, es produeix una col·lisió de drets fonamentals entre el dret a la privacitat del pacient (art 18 CE) i el dret de defensa del professional llur praxi mèdica és objecte de reclamació (art 24 CE). En aquest escenari, la posició més garantista que el centre pot adoptar seria la de sol·licitar al jutjat que requereixi, pels mitjans processals habilitats, la documentació que la part reclamada requereix per a exercir la seva defensa. Malgrat l’anterior, la pròpia AEPD indica que, conforme al seu criteri, es podria facilitar la informació a la part reclamada per tal que aquesta pugui exercir el seu dret de defensa, un cop que el jutjat hagi dictaminat l’admissió de prova mitjançant la interlocutòria corresponent, donant així garanties suficients al centre hospitalari sobre l’adequació de facilitar la documentació.

    

En definitiva, el present informe té una rellevància destacable donat que aprofundeix sobre l’extensió de l’article 9.2 f) RGPD, les diferents bases de legitimació que permeten l’accés a dades de les HC en casos de reclamacions i la legitimació de les asseguradores en l’accés a les dades de salut dels reclamants en aquests procediments. Per últim, analitza en profunditat els diferents drets fonamentals en joc en aquests supòsits i esgrimeix de forma sintetitzada el criteri, tant propi com de la jurisprudència recent, vers la ponderació d’aquests drets.