Nos ponemos en situación. Una paciente se somete, en el año 2014, a una intervención quirúrgica en un hospital para recuperarse de una lesión. Dicha intervención es grabada íntegramente en vídeo para futuros usos docentes y científicos según especificó el doctor encargado de la misma. La paciente solicitó al doctor las imágenes grabadas con el fin de contrastar distintas opiniones de facultativos sobre el resultado de la intervención. Dos años más tarde, en 2016, la paciente recibe un email del doctor: “Como te he comentado, lamento no haber podido encontrar las imágenes de tu cirugía, pero los niños me perdieron varios pendrives y es posible que en ellos se fuera tu intervención”, seguido de una explicación pormenorizada de la operación. Termina diciendo que “con este informe está explicada toda la intervención, si necesitan cualquier aclaración ellos tienen mi contacto […]”. En 2017, la paciente presenta escrito ante la AEPD.
El doctor alegó que el video estaba grabado con fines docentes y científicos, que no forma parte de la historia clínica de la paciente y que no hay obligación de custodiar una copia de seguridad. También alegó que ,antes de la intervención, la paciente firmó un consentimiento informado sobre la grabación y que sólo él podía asociar a la paciente en concreto con el video en cuestión.
No más lejos de la realidad. La AEPD refirió que en el consentimiento informado aparecían los datos identificativos y la firma del doctor, y la firma de la paciente, pero ningún dato identificativo de ella. También afirma que, si el doctor ha podido asociar el video y sus imágenes a la paciente en concreto según la historia clínica, otras personas, con los medios adecuados, también podrían hacerlo.
La AEPD aclara que el video de la intervención quirúrgica sí formaría parte de la historia clínica de la paciente en los términos fijados por la Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, que según el artículo 15.1 “la historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales […]” ;
Asimismo, recuerda que“el paciente tiene el derecho de acceso, […] a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella”, según lo previsto en el art.18.1, y que “los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original […]”, como establece el art.17. Por otro lado, el artículo 19.1 de la misma ley establece que el paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas (art.19.1).
Basándose en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD vigente en el momento de los hechos), la paciente denunciante entiende que el doctor había actuado con una grave falta de diligencia. La AEPD calificó los hechos enjuiciados como una infracción del art. 9.1 LOPD: “El responsable del fichero, y, en su caso, el encargado del tratamiento deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.”
La AEPD entiende acreditado que las medidas de seguridad adoptadas no posibilitaron el ejercicio del derecho de acceso de la paciente a la grabación de su intervención quirúrgica porque el doctor le comunicó su extravío. Las medidas de seguridad deben posibilitar el ejercicio de los derechos de los interesados por medio de un correcto archivo de los soportes que garanticen la conservación, localización y consulta de la información, especialmente en supuestos de categorías especiales de datos (datos de salud, en este caso concreto).
Finalmente, la AEPD consideró acreditado que el doctor no actuó con la diligencia que requería la situación al carecer de las medidas de seguridad que la Ley exige a los responsables del tratamiento, ya que no posibilitó el ejercicio del derecho de acceso de su paciente a los datos de su historia clínica donde debía de incluirse el video de su operación.
Como conclusión podemos decir que es de vital importancia emplear toda la diligencia posible en la conservación y mantenimiento de la información que tratamos, adoptando todas las medidas técnicas y organizativas necesarias. Si de lo contrario preferís correr el riesgo, podéis preguntarle al doctor si le compensó la multa de 5.000€ por perder los pendrives.
Abogado en Umbra Abogados
Artículo original publicado en Diario Jurídico el 2 de enero de 2019.
