EL DERECHO DEL PACIENTE DE ACCESO A SU HISTORIA CLÍNICA NO INCLUYE LA IDENTIFICACIÓN DE LOS PROFESIONALES MÉDICOS QUE HAYAN ACCEDIDO A DICHA INFORMACIÓN 

Una reciente Sentencia dictada por la Sala de lo Contencioso Administrativo de la Audiencia Nacional, sección primera, concluye que el derecho concedido al paciente en el acceso a su Historia Clínica únicamente abarca el conocimiento de la información sometida a tratamiento, pero no incluye, en ningún caso, qué personas, dentro del ámbito de la organización del responsable del fichero, han podido tener acceso a dicha información. La Agencia Española de Protección de Datos ha resuelto cuestiones similares en este mismo sentido en recientes informes jurídicos emitidos para resolver tales discrepancias.

La Sección primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional ha resuelto por Sentencia de 10 de enero de 2024, recurso número 223/2022, que el acceso a la historia clínica de los pacientes no incluye conocer la identidad de los terceros que han hecho uso de la información. La resolución parte del recurso de un particular frente a la resolución de la Agencia Española de Protección de Datos (en adelante, AEPD) que acuerda inadmitir la reclamación del recurrente por la que se requería al servicio aragonés de salud para que identificase el acceso de las personas que habían accedido a la historia clínica electrónica del paciente.

El objeto de controversia se resuelve en esta Sentencia, que reitera la trayectoria que mantiene la AEPD en esta materia en la resolución de casos similares. La reclamación que se efectúa por el paciente de identificación de los terceros que han accedido a su historial es denegada por el servicio público de salud aragonés alegando que la Agencia Española de Protección de Datos resolvió casos similares en los que se deniega la posibilidad de identificar a los terceros que han accedido a la información: “En contestación a la solicitud de los nombres de las personas que han accedido a su Historia Clínica electrónica, informarle que, consultada la Agencia Española de Protección de Datos en una situación similar a ésta, emitió un informe, con fecha 24 de abril de 2012, en el que se señala lo siguiente: "el derecho de acceso es uno de los derechos de las personas en relación con los datos de carácter personal que aparece regulado en el Título III de la LOPD. Dentro del mismo, el artículo 15.1 LOPD indica: El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. Así pues, de conformidad con dicha definición el derecho de acceso abarca el conocimiento de los datos sometidos a tratamiento, su origen y sus posibles cesiones. Pero no incluye la determinación de qué personas, en el tratamiento de los datos, han tenido acceso a la información. De este modo, el derecho concedido al interesado por la Ley únicamente abarcaría el conocimiento de la información sometida a tratamiento, pero no qué personas, dentro del ámbito de la organización del responsable del fichero han podido tener acceso a dicha información, tal y como ha indicado ya esta Agencia Española de Protección de Datos al resolver cuestiones similares a la planteada en el presente supuesto”.

Posteriormente, el paciente interpone reclamaciones a la AEPD, frente a la Consellería de Sanidad de Valencia y frente al Servicio Aragonés de Salud. La Agencia Española inadmite dicha reclamación y ésta es objeto de recurso contencioso- administrativo que se resuelve en la Sentencia que se analiza en el presente artículo.

El objeto de recurso que presenta el paciente afectado se basa en la vaguedad y generalidad de la respuesta que se da por la AEPD a las reclamaciones presentadas, considerando que la resolución carece de la suficiente motivación y es lesiva de su derecho a la tutela judicial efectiva.

La Audiencia Nacional analiza en la Sentencia el contenido de la resolución impugnada, entendiendo que es pertinente y suficiente en su contenido, en tanto da respuesta a la esencial duda del reclamante: “Frente a ello hay que indicar que efectivamente la Resolución impugnada, tras invocar con carácter general el tratamiento de los datos de salud, hacer referencia a la historia clínica del paciente, a los responsables de su custodia y a los derechos de rectificación, supresión y oposición, con especial referencia al derecho de acceso a tal historia clínica, concluye razonando de manera escueta, en lo que se refiere al caso concreto, que: "(...) tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se aprecian indicios racionales de la existencia de una infracción en el ámbito competencial de la AEPD, por lo que, de acuerdo con lo previsto en el artículo 65.2 de la LO 3/2018, de 5 de diciembre (La Ley 19303/2018), se acuerda inadmitir la reclamación”.

La Sala da la razón a la AEPD cuando establece que la esencia del derecho de acceso a la historia clínica de los pacientes no se configura como una vía para obtener información en torno a la identidad de un tercero que, dentro de la organización del responsable del fichero, pudiera haber accedido a la historia clínica, ni como un medio para valorar si los accesos estaban adecuadamente justificados. 

En este punto, recordamos que el derecho de acceso a la historia clínica de los pacientes se configura en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. En esta Ley se regula el derecho a la información asistencial como un derecho de los pacientes a conocer, con motivo de cualquier actuación en el ámbito de su salud, toda la información disponible sobre la misma, salvando los supuestos exceptuados por la Ley. Además, toda persona tiene derecho a que se respete su voluntad de no ser informada y la información, que como regla general se proporcionará verbalmente dejando constancia en la historia clínica, comprende, como mínimo, la finalidad y la naturaleza de cada intervención, sus riesgos y sus consecuencias. La información clínica forma parte de todas las actuaciones asistenciales, será verdadera, se comunicará al paciente de forma comprensible y adecuada a sus necesidades y le ayudará a tomar decisiones de acuerdo con su propia y libre voluntad; el médico responsable del paciente, asimismo, le garantiza el cumplimiento de su derecho a la información. Los profesionales que le atiendan durante el proceso asistencial o le apliquen una técnica o un procedimiento concreto también serán responsables de informarle.

La historia clínica y su acceso se configura en el artículo 15 de esta Ley, cuando indica que incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada y que tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud.

La historia clínica, además, es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente y los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. La propia Ley establece quién puede acceder a los datos de las historias clínicas cuando indica que el personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones, que el personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. Asimismo, el personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.

El acceso a la historia clínica se regula en el artículo 18, que configura que el paciente tiene el derecho de acceso a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 

Y, en consonancia con esto y sobre quién puede o tiene derecho a acceder a la historia clínica, podemos resumirlo del siguiente modo:

• Acceso por el facultativo: los profesionales sanitarios que realizan el diagnóstico o tratamiento del paciente. En caso de que no exista un motivo asistencial que lo justifique, incurrirían en una violación de la intimidad del paciente. Solamente puede acceder a la historia clínica el personal directamente implicado en el proceso asistencial del paciente.
• Acceso por el propio paciente, titular de su historia clínica: ante la solicitud de historia clínica por parte de un paciente, los centros sanitarios están en la obligación de su entrega a través de un procedimiento que garantice la observancia de los derechos básicos regulados en el artículo 18 de la Ley 41/2002 de Autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. Todos los centros deben conservar la documentación clínica en condiciones que garanticen su confidencialidad, su correcto mantenimiento, integridad y seguridad. Estos deben tener establecidos unos mecanismos para facilitar la gestión al usuario, habitualmente a través de los SAP (Servicios de Atención al Paciente) encargados de recibir la solicitud y tramitarla a los departamentos de archivo/documentación para ser resueltas en un plazo inferior a 30 días desde la solicitud; La entrega se realiza preferentemente de forma personalizada dejando constancia escrita de la misma.
• Acceso por terceros: el artículo 18.2 de la Ley básica permite el acceso de terceros mediante representación debidamente acreditada o para el caso de que se trate de un paciente declarado incapaz, así como emancipados y personas con 16 años cumplidos.

Para entender el contexto de esta Sentencia, se debe tener en cuenta la posición de la AEPD respecto al derecho de acceso al “registro de datos”. La propia Sala de la Audiencia Nacional se refiere repetidamente a informes previos de esta Agencia que, en términos generales, tiene un criterio reiteradamente manifestado en sus informes jurídicos y en sus resoluciones expresas de que los pacientes no tienen derecho a conocer quiénes han accedido a su historia clínica.

En Informe Jurídico 171/2008 indica claramente: “debe considerarse que el conocimiento de los concretos usuarios de la organización que hubieran accedido a los datos de carácter personal de la historia clínica no puede en ningún caso entenderse comprendido dentro del derecho de acceso a tribuido al afectado por la Ley Orgánica 15/1999, como ha tenido la ocasión de indicar esta Agencia Española de Protección de Datos en reiteradas resoluciones, (…). Por tanto, la revelación de los datos de los facultativos o personal que atendió a las afectadas no se encontrará amparada por el ejercicio del derecho de acceso, no procediendo otorgar el mismo en relación con este punto”.

En los mismos términos se pronuncia la Resolución R/02036/2010 de 7 de octubre de 2010 (Procedimiento TD/01057/2010). La interesada había solicitado a un centro hospitalario “los datos de las personas que hubiesen accedido a su historia clínica electrónica”. El hospital le niega la petición hecha, motivo por el cual presenta ante la Agencia de Protección de Datos una reclamación al entender que no ha sido atendido su derecho de acceso. La Resolución inadmite la reclamación esgrimiendo como única argumentación que “conforme a la LOPD, el reclamante sólo puede solicitar sus propios datos personales, o los de aquellas personas cuya representación ostente”.

Idéntico criterio sostiene la Agencia de Protección de Datos de la Comunidad de Madrid cuando señala “En ningún caso constituyen datos de carácter personal, ni cesiones de datos realizadas, los accesos que los usuarios de la historia clínica, en el ejercicio de la actividad asistencial, hayan realizado a la misma. El criterio manifestado por esta Agencia en informes anteriores ha sido siempre que no se deben facilitar al solicitante del ejercicio del derecho de acceso el seguimiento de los accesos realizados a los ficheros en los que se encuentren sus datos de carácter personal”.

Por otra parte, las leyes obligan a que queden identificadas, inequívoca y personalmente, todas las personas que acceden a una historia clínica. De cada acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. Llegados a este punto, podemos afirmar que para garantizar el derecho a la intimidad de los pacientes, el ordenamiento jurídico obliga a que exista un registro que ha de conservarse, al menos, durante dos años, en el que ha de constar, entre otros datos, la identificación de cuantas personas hayan accedido a la historia clínica. 

Del conjunto de normas que regulan la protección de datos y la historia clínica se extrae de forma indubitada que el paciente tiene derecho a que, además de que se respete el carácter confidencial de los datos referentes a su salud, nadie pueda acceder a ellos sin previa autorización amparada por la ley. Las leyes regulan de forma taxativa quiénes y por qué motivos se puede acceder a una historia clínica y obligan a que queden identificadas, inequívoca y personalmente, todas las personas que acceden, debiendo quedar esto anotado en un registro que ha de conservarse.

De todo lo anterior, por tanto, se concluye que la historia clínica, siempre y en todo caso es titularidad del paciente y que éste, en la libertad que le ampara de uso y acceso a la misma, tiene derecho a conocer su contenido en los términos y límites que se regulan legalmente, así como puede conceder el derecho a un tercero de acceso a la misma. No obstante, este derecho no es ilimitado, sino que implica una serie de restricciones que protegen y amparan otros derechos de terceros ajenos, así como que, entre otros, no se incluye dentro de su derecho la determinación de los profesionales médicos (con nombre y apellidos) u otras personas que han accedido al historial clínico. 

Ha de entenderse, por tanto, el derecho de acceso a la historia clínica como un derecho con amplia protección jurídica en todos los ámbitos pero, como la mayoría de Derechos, limitado y restringido en protección no sólo de terceros que pudieran verse perjudicados sino, además, en lo referente a su contenido, que no está determinado a elección del paciente sino a la regulación específica que se contiene por Ley. Y no incluye, como se ha visto en Sentencia de la Audiencia Nacional y en otras disposiciones de otros organismos públicos, la determinación de los profesionales médicos o de terceros ajenos que hayan, en su caso, tenido acceso a la misma.