Análisis del informe jurídico de la AEPD sobre acceso a las historias clínicas de las que era responsable un médico fallecido
En este informe jurídico de la AEPD (0079/2020), se aborda en qué situación quedan las historias clínicas de los pacientes de un facultativo fallecido, en lo referente a privacidad y protección de datos. Hay que destacar que los herederos pasan a ser Responsables del Tratamiento. Y si algún otro centro sanitario o facultativo quiere acceder a esos historiales clínicos lo tendrá que hacer a través de alguna de las fórmulas que se plantean en el informe.
En este informe concretamente se plantean dos situaciones respecto a historias clínicas ante el fallecimiento de un facultativo, que atendía en un centro sanitario a pacientes por cuenta propia y a otros conjuntamente con el centro sanitario, lo que en principio podría ser una corresponsabilidad del tratamiento (art. 26 GDPR).
En cuanto al acceso a las historias clínicas por parte del centro sanitario una vez que falleció el facultativo, y basándose entre otras cuestiones en la aplicación del artículo 661 del Código Civil que establece que se subroga en los herederos las obligaciones de conservación de las historias clínicas. Concluye la AEPD que los herederos se convierten en responsables del tratamiento, y por tanto en el caso de pacientes exclusivos del facultativo fallecido, en relación con quién debe satisfacer el ejercicio de los derechos de los titulares de los datos personales que obran en las historias clínicas el primer elemento a tener en cuenta es si los herederos son profesionales de la medicina o no.
Si los herederos son profesionales sanitarios podrán acceder a la historia clínica, para satisfacer dichos derechos, en este supuesto hay que recordar que el principio de limitación de finalidad ( 5.1 b) GDPR) establece que los datos personales serán recogidos con fines determinados, explícitos y legítimos y no serán tratados ulteriormente de manera incompatible con dichos fines.
En caso de que los herederos no sean profesionales sanitarios, lo que les impediría comprobar los datos médicos de un paciente y que pueden no tener conocimientos ni medios adecuados para el tratamiento de las historias clínicas, podrían acudir a:
- Otro profesional o centro sanitario, que podría ser el centro que plantea la consulta:
- Obteniendo el consentimiento expreso de los pacientes para la cesión de sus datos a ese profesional o centro sanitario.
- Actuando como facultativo/s que pretenden acceder en una nueva actividad de diagnóstico o tratamiento a solicitud del paciente, en los términos indicados en el art. 18 de la Ley 41/2002.
- A través de un contrato de encargado del tratamiento, es decir, los herederos seguirían siendo responsables del tratamiento, pero al amparo de los artículos 28 GDPR y 33 de la LOPDGDD el otro profesional o centro sanitario se convertirá en encargado del tratamiento, por lo que deberá suscribirse el contrato con los requisitos establecidos en el apartado 3 articulo 28.
- Colegios Profesionales de médicos, dónde los herederos seguirían siendo responsables del tratamiento y el colegio profesional, al igual que en el supuesto anterior, se instituiría en encargado del tratamiento debiendo cumplir las obligaciones derivadas de tal condición y en especial lo dispuesto en los artículos 28 del GDPR y 33 de la LOPDGDD.
En cuanto a los pacientes “compartidos” por el facultativo fallecido y el centro, concluye la AEPD que en este caso concreto no puede considerarse que estamos ante un supuesto de corresponsabilidad conforme al GDPR/LOPDGDD, al menos formalmente, pues no existe un acuerdo o contrato vinculante en el que se determinen “de modo transparente y de mutuo acuerdo sus responsabilidades” en relación con el cumplimiento del GDPR y en especial en relación con los interesados, como tampoco puede analizarse qué actividades desarrolla cada uno de los corresponsables.
Por lo tanto, el centro sanitario será responsable del tratamiento con las obligaciones inherentes a tal condición, y en especial, aquellas derivadas del ejercicio de derechos de las historias clínicas de las que sea responsable. En relación con los ejercicios de derechos que reciba en relación con las historias clínicas que no sea responsable o que, siéndolo, materialmente no estén a su disposición, deberá comunicar dicha situación a los herederos del facultativo a los efectos oportunos y a los afectados para que, si éstos entienden menoscabado su derecho, puedan acudir a los procedimientos previstos en la LOPDGDD.