Cercador de resolucions, dictàmens i informes

Es planteja una consulta sobre el dret d’accés d’un pacient al curs clínic.

En aquest cas, la negativa d’un facultatiu sanitari a emetre un informe que, en principi, li correspondria, no pot derivar en un perjudici al malalt. Per aquesta raó, si resulta suficientment justificat, aquest informe es podria emetre per un altre facultatiu, deixant constància del seu contingut a la història clínica i, de la mateixa manera, hauria de constar en termes de traçabilitat d’aquesta.

El pacient, com a titular de les dades personals que consten als seus informes mèdics d’assistència i afectat té dret a accedir a la informació del curs clínic, sempre que no sigui  en perjudici del dret de tercers a la confidencialitat de les dades d'aquests que figuren en l'esmentada documentació, ni del dret dels professionals que han intervingut en l'elaboració d'aquesta, que poden invocar la reserva de llurs observacions, apreciacions o anotacions subjectives.

Una vegada informat de la possibilitat d’exercir el dret de limitació, el facultatiu no ès pot negar a que es lliuri el curs clínic al pacient. 

Des del punt de vista de la normativa de protecció de dades, l’incompliment del dret d’accés del pacient a la seva documentació clínica, comporta una infracció administrativa per vulneració de la normativa de protecció de dades.

Es resol declarar que la Fundació de Recerca Clínic Barcelona-Institut d'Investigacions Biomèdiques August Pi i Sunyer (FRCB-IDIBAPS), en la seva condició de responsable del tractament de les dades allotjades a la plataforma de l'HCB que van ser objecte de ciberatac, no va determinar les mesures tècniques i organitzatives adequades per protegir les seves dades, ni va vetllar perquè l'HCB - com a encarregat del tractament - les implementés; no va realitzar una anàlisi de riscos en relació amb els tractaments de dades personals dels quals n'era el responsable; ni va formalitzar un contracte d'encarregat del tractament amb l'HCB, en els termes previstos a la normativa de protecció de dades.

Es resol declarar que el Consorci d'Atenció Primària de Salut Barcelona Esquerra (CAPSBE), en la seva condició de responsable del tractament de les dades allotjades a la plataforma de l'HCB que va ser objecte de ciberatac, no va determinar les mesures tècniques i organitzatives adequades per protegir les seves dades, ni va vetllar perquè l'HCB - com a encarregat del tractament - les implementés; no va realitzar una anàlisi de riscos en relació amb els tractaments de dades personals dels quals n'era el responsable; ni va formalitzar un contracte d'encarregat del tractament amb l'HCB, en els termes previstos a la normativa de protecció de dades personals.

Es resol declarar que, amb anterioritat al 05/03/2023, l'HCB no havia implementat les mesures de seguretat -tècniques i organitzatives- adequades per garantir un nivell de seguretat adequat al risc dels tractaments de dades personals que duia a terme. Tampoc havia realitzat una anàlisi de riscos per definir les mesures de seguretat requerides, tal com exigeixen els apartats 1r i 2n de l'article 32 RGPD. La plataforma informàtica que va ser objecte de ciberatac emmagatzemava informació de l'HCB i també d'altres entitats vinculades (Barnaclínic SA, CAPSBE i la FRCB-IDIBAPS); per tant, el volum i sensibilitat de la informació exigien una especial diligència en la seva custòdia i seguretat.

La persona reclamant havia sol·licitat la supressió de diversa informació que figurava en un informe mèdic d'un hospital públic, arran d'una assistència seva al servei d'urgències, i l'hospital li ho va denegar. La reclamació davant l'APDCAT es va reconduir a l'exercici del dret de rectificació i es va desestimar, per considerar que la informació recollida, referent al consum esporàdic de tòxics i a les recomanacions terapèutiques de la psiquiatra d'assistència al CSMA, era veraç i necessària.

S'acorda arxivar la queixa sobre el tractament de les dades de salut per part del Departament de Salut -en cooperació amb el Ministeri de Sanitat- dins del marc del projecte de la xarxa europea de dades de salut. El Departament està legitimat per elaborar i publicar el document PS a l'espai privat de la Meva Salut. Es tracta d’un resum de la història clínica compartida, que té com a origen l'HC3 (art.6.1.c, art. 6.1.d i 6.1.e de l'RGPD), i que es presta amb finalitats assistencials (art. 9.2.h RGPD). L'entitat també ha previst un sistema perquè les persones interessades que ho desitgin puguin evitar que els professionals sanitaris europeus puguin accedir al seu document PS.

La persona reclamant demanava que en un futur als informes mèdics no hi apareguessin patologies anteriors i que només hi constessin les dades de les patologies del moment de l'assistència mèdica concreta. S'estima parcialment la reclamació, atès que l'ICS no va respondre la sol·licitud en el termini legalment previst. Quant al fons es desestima, perquè la informació de patologies anteriors és necessària perquè els professionals de la salut puguin prestar una atenció sanitària d'acord amb els termes previstos a la normativa sanitària.

S'acorda arxivar la queixa sobre el tractament de les dades de salut per part del Departament de Salut -en cooperació amb el Ministeri de Sanitat- dins del marc del projecte de la xarxa europea de dades de salut. El Departament està legitimat per elaborar i publicar el document PS a l'espai privat de la Meva Salut. Es tracta d’un resum de la història clínica compartida, que té com a origen l'HC3 (art.6.1.c, art. 6.1.d i 6.1.e de l'RGPD), i que es presta amb finalitats assistencials (art. 9.2.h RGPD). L'entitat també ha previst un sistema perquè les persones interessades que ho desitgin puguin evitar que els professionals sanitaris europeus puguin accedir al seu document PS.

La reclamant va exercir el seu dret de supressió davant el Departament de Salut, que la va respondre extemporàniament. En la seva resposta, el Departament de Salut va informar la reclamant que, per suprimir el diagnòstic concret de la seva història clínica, s'havia d'adreçar al professional que l’havia introduït a la seva història clínica. En aquest cas, el diagnòstic l’havia introduït un centre d'atenció primària de l'ICS. No obstant això, no consta que la reclamant hagi exercit el seu dret de supressió davant l'ICS (que és el responsable del tractament de les dades que vol suprimir).

S'acorda arxivar la queixa sobre el tractament de les dades de salut per part del Departament de Salut -en cooperació amb el Ministeri de Sanitat-, dins del marc del projecte de la xarxa europea de dades de salut. El Departament de Salut està legitimat per elaborar i publicar, a l'espai privat de la Meva Salut, el document PS (resum de la història clínica compartida) que té com a origen l'HC3 (art. 6.1.c, art. 6.1.d i 6.1.e RGPD), i que es presta amb finalitats assistencials (art. 9.2.h RGPD). L'entitat també ha previst un sistema perquè les persones que ho desitgin puguin evitar que els professionals sanitaris europeus accedeixin al seu document PS.