Buscador de resoluciones, dictámenes e informes

La persona denunciante exponía que se había manipulado su historia clínica. Concretamente, señalaba que el diagnóstico de las lesiones que sufrió en un accidente no era correcto y que las imágenes que constaban en él eran borrosas y estaban cortadas. Durante la tramitación de la reclamación, el hospital acreditó que la información de la historia clínica de la persona reclamante era correcta, que no había habido modificación posterior a la fecha del accidente y que las imágenes no eran borrosas ni estaban cortadas. Se archiva el procedimiento, dado que no se puede atribuir al hospital ningún hecho punible desde el punto de vista de la protección de datos ni ninguna responsabilidad por los hechos denunciados y no acreditados.

Título: infracción del principio de confidencialidad por 9 accesos indebidos en la historia clínica.
Resumen: la denunciante se quejaba de 9 accesos indebidos en su historia clínica que no estaban relacionados con ninguna actuación asistencial o de diagnóstico, ya que nunca había sido atendida en el centro ni por la facultativa que había efectuado los accesos controvertidos. La denunciante también se quejaba de que, en el marco de una reunión de una asociación vecinal, la facultativa había difundido algunos datos de salud de la denunciante. Esta supuesta divulgación de datos se archivó en el acuerdo de iniciación, ya que no se acreditaron los hechos. En cuanto a los 9 accesos indebidos acreditados, se sanciona a la entidad por la vulneración del principio de confidencialidad con una multa de 30.000 €, como responsable de una infracción prevista en el artículo 83.5.a en relación con el artículo 5.1 .f, ambos del RGPD. La entidad ha pagado la sanción de forma anticipada (24.000€).

La historia clínica de la fundación denunciada está configurada de forma que, desde el diseño y por defecto, los médicos propios y externos de la fundación pueden acceder a ella, a través de los sistemas de información de la fundación. Este hecho provocó que un médico externo que atendió a la persona denunciante en el marco de una asistencia sanitaria privada accediera a su historia clínica, sin su consentimiento explícito ni ninguna otra base jurídica que legitimara este tratamiento. En este caso, no se imputa la vulneración del deber de la protección de datos desde el diseño y por defecto, dado que existe un concurso ideal de infracciones y sólo se imputa la infracción más grave; es decir, la vulneración del principio de licitud (calificada como muy grave). Tampoco se imputa la vulneración del principio de limitación de la finalidad, al quedar subsumida en la infracción relativa al principio de licitud.

La entidad reclamada no ha acreditado que haya respondido la solicitud de rectificación ejercida por la persona reclamante.

Procede estimar la reclamación, dado que el ICS no respondió en plazo la solicitud de la persona reclamante. Respecto del fondo, no procede efectuar ningún pronunciamiento ni requerir ninguna actuación, puesto que el ICS ha acreditado que ha entregado la documentación a la persona reclamante en los términos solicitados, es decir, ha hecho efectivo el derecho ejercido por la persona reclamante, a pesar de que extemporáneamente.

La persona denunciando se quejaba de un acceso indebido a su historia clínica. Se resuelve archivar las actuaciones en la medida que en el marco de la información previa no se ha constatado que se haya producido ningún acto que pueda ser constitutivo de infracción, en tanto se ha justificado suficientemente que el controvertido acceso se llevó a cabo en el marco de las tareas asignadas a la profesional que lo efectuó.

Se resuelve el archivo de las actuaciones puesto que la entidad denunciada ha justificado que el acceso controvertido al HC3 de la persona denunciando se produjo por un error de tecleo, en el marco del proyecto RedCov, en que se tenía que consultar determinados parámetros en varias historias clínicas.

No se acredita el acceso indebido al HC3 de la persona denunciando. Se resuelve el archivo de la denuncia porque la entidad denunciada ha acreditado que los datos que hacían referencia a la HC3 de la persona denunciando se extrajeron de un dictamen que los había enviado el INSS.

Se constatan 4 accesos no justificados al HC3 de la persona denunciando por parte de personal de la Corporación Sanitaria Parque Taulí de Sabadell. Se resuelve amonestar la Corporación como responsable de una infracción prevista en el artículo 83.5.a) en relación con el artículo 5.1.a), ambos del RGPD, por 2 accesos indebidos al HC3 que no han prescrito, por la vulneración de los principios básicos para el tratamiento, en concreto el principio de licitud.

Se archiva la denuncia sobre como un Hospital realizó el traslado de documentación de una sección sindical a otra sala de dentro del hospital, dado que el dicho traslado se llevó a cabo sin poner en riesgo la protección de los datos personales allá contenidas, y las medidas de seguridad adoptadas para hacerlo eran las adecuadas para garantizar su seguridad y confidencialidad.