En este informe jurídico de la AEPD (0079/2020), se aborda en qué situación quedan las historias clínicas de los pacientes de un facultativo fallecido, en lo referente a privacidad y protección de datos. Hay que destacar que los herederos pasan a ser Responsables del Tratamiento. Y si algún otro centro sanitario o facultativo quiere acceder a esos historiales clínicos lo tendrá que hacer a través de alguna de las fórmulas que se plantean en el informe.
En este informe concretamente se plantean dos situaciones respecto a historias clínicas ante el fallecimiento de un facultativo, que atendía en un centro sanitario a pacientes por cuenta propia y a otros conjuntamente con el centro sanitario, lo que en principio podría ser una corresponsabilidad del tratamiento (art. 26 GDPR).
En cuanto al acceso a las historias clínicas por parte del centro sanitario una vez que falleció el facultativo, y basándose entre otras cuestiones en la aplicación del artículo 661 del Código Civil que establece que se subroga en los herederos las obligaciones de conservación de las historias clínicas. Concluye la AEPD que los herederos se convierten en responsables del tratamiento, y por tanto en el caso de pacientes exclusivos del facultativo fallecido, en relación con quién debe satisfacer el ejercicio de los derechos de los titulares de los datos personales que obran en las historias clínicas el primer elemento a tener en cuenta es si los herederos son profesionales de la medicina o no.
Si los herederos son profesionales sanitarios podrán acceder a la historia clínica, para satisfacer dichos derechos, en este supuesto hay que recordar que el principio de limitación de finalidad ( 5.1 b) GDPR) establece que los datos personales serán recogidos con fines determinados, explícitos y legítimos y no serán tratados ulteriormente de manera incompatible con dichos fines.
En caso de que los herederos no sean profesionales sanitarios, lo que les impediría comprobar los datos médicos de un paciente y que pueden no tener conocimientos ni medios adecuados para el tratamiento de las historias clínicas, podrían acudir a:
En cuanto a los pacientes “compartidos” por el facultativo fallecido y el centro, concluye la AEPD que en este caso concreto no puede considerarse que estamos ante un supuesto de corresponsabilidad conforme al GDPR/LOPDGDD, al menos formalmente, pues no existe un acuerdo o contrato vinculante en el que se determinen “de modo transparente y de mutuo acuerdo sus responsabilidades” en relación con el cumplimiento del GDPR y en especial en relación con los interesados, como tampoco puede analizarse qué actividades desarrolla cada uno de los corresponsables.
Por lo tanto, el centro sanitario será responsable del tratamiento con las obligaciones inherentes a tal condición, y en especial, aquellas derivadas del ejercicio de derechos de las historias clínicas de las que sea responsable. En relación con los ejercicios de derechos que reciba en relación con las historias clínicas que no sea responsable o que, siéndolo, materialmente no estén a su disposición, deberá comunicar dicha situación a los herederos del facultativo a los efectos oportunos y a los afectados para que, si éstos entienden menoscabado su derecho, puedan acudir a los procedimientos previstos en la LOPDGDD.