El hecho de que una entidad se encuentre en concurso de acreedores, en liquidación o en cualquier otra situación de dificultad económica o administrativa no constituye una causa que le permita desatender las obligaciones que impone la normativa de protección de datos. Los derechos reconocidos a los ciudadanos, tales como el acceso, la rectificación o la supresión de sus datos personales, forman parte del núcleo esencial de la normativa europea y española en esta materia y deben ser garantizados en todo momento. La insolvencia, la paralización de la actividad o la intervención judicial de una empresa no eliminan su deber de conservar y custodiar los datos personales que obran en su poder ni la obligación de responder, de manera expresa y dentro de los plazos legales, a las solicitudes de los interesados.
Comenzamos así, analizando una resolución de la Agencia Española de Protección de Datos (en adelante AEPD), la cual se centran en las causas antes mencionadas:
La AEPD recibe una reclamación, EXP202417085, por falta de respuesta a su solicitud de acceso a su historia clínica frente a la Entidad reclamada.
La parte reclamante, afectada por el cierre de los Centros de estética de la parte reclamada, manifiesta que ejercitó el derecho de acceso a sus datos personales, sin recepción de la respuesta legalmente establecida.
Así, la parte reclamada remite un escrito indicando que se encuentra en concurso de acreedores y que sus funciones operativas están limitadas, manifestando dificultades para atender las solicitudes de acceso de varios interesados.
Mas tarde la AEPD traslada la reclamación a la parte reclamada para que, en un mes, informara de las actuaciones realizadas y acreditara la respuesta al reclamante. La notificación expira por caducidad al superarse el plazo para comparecer, y no consta respuesta en la AEPD. Por ello, la reclamación se admite a trámite y audiencia.
Así las cosas, finalmente no se acredita que la parte reclamada haya entregado la copia de la historia clínica ni que haya emitido respuesta expresa a la solicitud de la parte reclamante.
Pasamos ahora a analizar los fundamentos de derecho respecto del derecho de acceso en este caso:
· El derecho de acceso se sustenta en el artículo 15 del RGPD y en el artículo 13 de la LOPDGDD.
· Establece que el interesado puede obtener confirmación de si se están tratando sus datos personales y, en tal caso, tiene derecho a acceder a ellos.
Alcance del derecho de acceso:
· El responsable del tratamiento puede solicitar al interesado que especifique qué datos o actividades de tratamiento quiere consultar, especialmente cuando la solicitud implique una gran cantidad de datos.
· El acceso puede ser remoto, considerándose atendida la solicitud si el responsable facilita esa modalidad, aunque el interesado puede pedir información más detallada según el artículo 15 del RGPD.
· Las solicitudes pueden considerarse repetitivas si se realizan más de una vez en seis meses, salvo causa legítima.
· Se considera excesiva una solicitud que implique un coste desproporcionado por el medio elegido por el interesado.
Carácter personalísimo:
El derecho de acceso es personal del interesado, permitiéndole:
o Obtener información sobre el tratamiento de sus datos.
o Recibir copia de los datos que se estén tratando.
o Conocer fines del tratamiento, categorías de datos, destinatarios, plazos de conservación, existencia de decisiones automatizadas y transferencias internacionales.
La entrega de copia no debe afectar los derechos o libertades de terceros.
Derecho de acceso a la historia clínica:
Regulación específica en artículo 18 de la Ley 41/2002 (Ley de Autonomía del Paciente):
o El paciente puede acceder a su documentación clínica y obtener copia de los datos.
o Puede ejercerse por representante debidamente acreditado.
o Existen limitaciones: proteger la confidencialidad de terceros y anotaciones subjetivas de profesionales.
o Acceso a la historia clínica de personas fallecidas limitado a familiares o razones de salud.
Contenido y conservación de la historia clínica:
· Artículo 15 de la LAP: Define el contenido mínimo de la historia clínica, incluyendo informes, exploraciones, consentimientos informados, evolución y tratamientos.
· Artículo 17 de la LAP: Establece la obligación de los centros sanitarios de conservar la historia clínica durante al menos cinco años desde el alta, garantizando su seguridad y custodia.
Los profesionales individuales son responsables de la gestión y custodia de la documentación asistencial que generan.
En este supuesto, la entidad reclamada puso de manifiesto ante la Agencia la situación de concurso de acreedores en la que se encuentra y la imposibilidad de atender a lo solicitado por sus antiguos clientes, en atención a dicha situación.
En consecuencia, no se ha acreditado ni haber atendido lo solicitado por la parte reclamante, ni haberle informado de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales, remitiéndole en todo caso la preceptiva respuesta a su solicitud.
Nuestra autoridad de control recuerda a la parte reclamada que el hecho de estar en situación de concurso de acreedores no le exime de cumplir con sus obligaciones en materia de protección de datos, entre las que se encuentra la debida conservación y custodia de las historias clínicas.
Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aun en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate.
Por tanto, y así lo expresa la AEPD, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación.
Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, la Agencia considera procedente estimar la reclamación que originó el presente procedimiento.
Por todo lo expuesto, la AEPD estima la reclamación por infracción del art. 15 RGPD y ordena a la parte reclamada que, en un plazo de diez días hábiles desde la notificación, remita a la parte reclamante una certificación en la que atienda el derecho solicitado o, en su caso, lo deniegue de manera motivada. Además, la entidad debe informar a la AEPD de las actuaciones realizadas en idéntico plazo.
La resolución advierte que el incumplimiento de esta orden podría constituir una infracción muy grave tipificada en el art. 72.1.m) de la LOPDGDD, sancionable conforme al art. 83.6 del RGPD, lo que podría conllevar consecuencias económicas y reputacionales de gran relevancia.
El caso analizado muestra la importancia de la protección de datos personales en el ámbito sanitario, donde la historia clínica es especialmente sensible. La resolución enfatiza que el concurso de acreedores no exime a una entidad de sus obligaciones en materia de protección de datos ni de la custodia de historias clínicas.
Se confirma que el derecho de acceso debe ser atendido siempre, con una respuesta expresa, clara y dentro del plazo de un mes. La inacción o el silencio administrativo resultan inadmisibles en un Estado de Derecho. El expediente recuerda a las entidades la obligación de implantar procedimientos internos eficaces para responder adecuadamente a las solicitudes de los interesados.
Si quieres conocer más información sobre la historia clínica y el derecho de acceso puedes visitas otras entradas de nuestro blog al respecto pinchando aquí.
