Transparencia, protección y control de los datos de salud en la sanidad digital

CAPÍTULO NOVENO. TRANSPARENCIA, PROTECCIÓN Y CONTROL DE LOS DATOS DE SALUD ... EN LA SANIDAD DIGITAL1 Inmaculada Vivas Tesón Catedrática de Derecho civil Universidad de Sevilla SUMARIO. 1. CONSIDERACIONES PREVIAS. 2. EL MARCO NORMATIVO DE LOS DATOS PERSONALES EN EL ÁMBITO SANITARIO: UN ANÁLISIS CRÍTICO. 3. CUESTIONES DE INTERÉS PRÁCTICO EN TORNO A LA HISTORIA CLÍNICA ELECTRÓNICA. 3.1. La relevancia asistencial y legal de la historia clínica. 3.2. El alcance del derecho de acceso: en concreto, la trazabilidad de los accesos no autorizados a la historia clínica. 1. CONSIDERACIONES PREVIAS Nuestro sistema de salud debe afrontar, en la actualidad, grandes e innumerables retos, entre los cuales podemos mencionar el progresivo envejecimiento de la población; la implantación de una historia clínica digital e interoperable entre los distintos ámbitos asistenciales y entre las Comunidades autónomas, lo que es muy necesario a la vista de los continuos desplazamientos geográficos de las personas por motivos diversos (labo- 1 El presente trabajo se enmarca dentro del Grupo de Investigación “Nuevas Dinámicas del Derecho Privado Español y Comparado” (SEJ-617) y del Grupo de investigación consolidado “Discapacidad, Enfermedad Crónica y Accesibilidad a los Derechos” (DECADE) de la Universidad de Alcalá, así como del Proyecto I+D+i “Discriminación a las personas con discapacidad en el ejercicio de la capacidad jurídica en las situaciones internacionales e interregionales (PID2021- 127361NB-I00), Ayudas a Proyectos de generación de conocimiento en el marco del Programa - ble la Profª. Goñi Urriza. Inmaculada Vivas Tesón224 rales, ocio, etc.) en el territorio nacional2; la absoluta desconexión entre las bases de datos de los servicios públicos de sanidad y las de los seguros y mutuas privadas, lo que impide compartir los datos sanitarios de sus pacientes; la vertiginosa digitalización de procesos, productos y servicios, la llamada e-Health, la cual requiere considerables esfuerzos para cerrar por completo las brechas digitales con el fin de que toda la ciudadanía sin excepción pueda aprovechar las bondades de las tecnologías de la información y comunicación (las TICs); la prestación de servicios médicos personalizados, preventivos, predictivos y participativos; la mejora de la transparencia y buen gobierno en la sanidad; la búsqueda constante de la eficacia, eficiencia y calidad en todas y cada una de las actuaciones y procesos y, a la vez, de la optimización del gasto sanitario; la aportación del sector al desarrollo sostenible en cumplimiento de los Objetivos de Desarrollo Sostenible de la Agenda 20303 de las Naciones Unidas; la máxima seguridad en la conservación, uso y circulación de los datos clínicos del paciente; y la aplicación de herramientas de Inteligencia Artificial (en adelante, IA) en la toma de decisiones y en la ejecución de las mismas. Es evidente que la sanidad debe adaptarse a las nuevas realidades y la nueva realidad, ahora, es la era tecnológica. La perspectiva Tech (pensemos en Big Data, Cloud Computing, la MHealth o el Internet of Medical Things –IoMT–) hace del ámbito sanitario un sector estratégico por sus múltiples implicaciones y oportunidades, pero también por sus riesgos presentes y futuros. La sanidad electrónica y algorítmica tiene, sin duda alguna, un gran impacto en los derechos fundamentales de la persona, así como en el derecho a la protección de su salud (repárese en que no se trata del “derecho a estar sano”, el cual, como tal, no puede ser garantizado al ciudadano de ninguna ma- 2 CRAVIOTTO VALLE, P.: Responsabilidad por el tratamiento indebido de los datos personales de salud: la histórica clínica como eje vertebrador, Reus, Madrid, 2023, p. 112, expone el complejo escenario que vivimos en España como consecuencia de la descentralización de la gestión sanitaria y la consiguiente legitimidad regulatoria de las diecisiete Comunidades Autónomas con sus respectivos sistemas sanitarios, lo que genera desigualdad e inseguridad jurídica. Ello llama especialmente la atención porque la Ley 11/2020, de 30 de diciembre, de Presupuestos Generales del Estado para el año 2021, en su Disposición adicional centésima cuadragésima octava, contempló la creación de una Tarjeta Sanitaria Interoperable que, de manera automática, permitiera el intercambio de información de salud de cualquier paciente, con independencia de la Comunidad de residencia del mismo. En enero de 2023, fecha de cierre del presente trabajo, aún no se ha dado cumplimiento a dicha previsión normativa. 3 En concreto, destaca el ODS 3, Salud y Bienestar (Garantizar una vida sana y promover el bienestar en todas las edades es esencial para el desarrollo sostenible), pero también son importantes para el sector, entre otros, el 9 (Industria, Innovación e Infraestructura), el 12 (Producción y Consumo Responsables) y el 13 (Acción por el Clima). 225Transparencia, protección y control de los datos de salud... nera), que, aunque pueda resultar extraño, no goza, en nuestra Carta Magna, de la misma naturaleza de aquéllos al encontrarse ubicado en su art. 43, esto es, entre los principios rectores de la política social y económica. Se trata, por consiguiente, de un derecho social. Ello explica que sea desarrollado por la legislación ordinaria, que carezca de contenido constitucionalmente esencial4 y que no goce de la tutela reforzada prevista en el art. 53.1º y 2º de la Norma Suprema. Conforme a ello, no es susceptible de recurso de amparo, a pesar de lo cual el Tribunal Constitucional suele ponerlo en conexión con los derechos fundamentales a la vida y a la integridad física y moral consagrados por el art. 15, así como con la libertad religiosa del art. 165, lo que es tremendamente lógico y muy atinado. Además, los datos relativos al estado de salud son datos de carácter personal, de modo que el tratamiento indebido de dicha información puede vulnerar otro derecho fundamental, el reconocido por el art. 18.4 de nuestra Carta Magna, de indiscutible naturaleza autónoma respecto al derecho a la intimidad del art. 18.1, 6. Si en las sociedades contemporáneas basadas en la datacracia (por tan- to, en el control y vigilancia de la ciudadanía está fuera de duda que los datos personales lo son todo, hasta el punto que podría decirse que vivimos permanentemente sumergidos en un tsunami de datos, es en el campo sanitario donde lo comprobamos con mayor claridad, pues aquéllos son los recursos necesarios para proteger la salud. En éste, como en ningún otro ámbito de la sociedad, los datos evidencian su extraordinaria potencialidad. Sin paciente y sin sus datos no puede ponerse en marcha el ecosistema sanitario. Los datos de los pacientes son la llave de la actividad asistencial, pero también de la prosperidad colectiva, por ello debemos ser conscientes del valor de nuestros datos personales, de lo que está en juego. Y en el contexto de los cuidados médicos no se trata, únicamente, de proteger los datos clínicos del paciente y respetar su intimidad, sino que promover su dignidad y libertad en la toma de decisiones debe ser, en todo momento, una prioridad absoluta. La dignidad de la persona es un derecho inviolable que es exigible con mayor intensidad si cabe cuanto más frágil o vulnerable se encuentre por causa de la enfermedad, la desnudez, el dolor, el sufrimiento o la llegada de la muerte. En realidad, la dignidad del profesional (si se trata de un robot, evidentemente, la cosa cambia, si bien, en última instancia, siempre debe existir 4 Vid. STC 139/2016, de 21 de julio. 5 Entre otras, la STC 62/2007, de 27 marzo y STC 37/2011, de 28 marzo. 6 Vid. FJ 5º 6º y 7º de la STC 292/2000, de 30 de noviembre. Inmaculada Vivas Tesón226 la acción de un ser humano) se mide por su respeto a la del paciente. Respetar al prójimo es respetarse a uno mismo. Desde la óptica constitucional se trata, aunque cueste mucho entenderlo pues sin salud no hay nada, de un derecho social. De un derecho social peculiar, pues tiene una dimensión individual y otra colectiva, como ha evidenciado, de manera cristalina, la pandemia mundial del Covid-19, durante la cual hemos sido testigos directos de la recopilación masiva de los datos del estado de salud de los ciudadanos, quienes parecen cada vez estar más concienciados en cuanto al alto valor de su información personal y de los riesgos a los que, continuamente, los expone el mundo digital y, en consecuencia, van ensanchando poco a poco su empoderamiento al respecto, con excepción de aquéllos que, asompromociones e, incluso, de forma gratuita. Conforme a dicha doble y simultánea perspectiva, individual y social, desde la cual han de ser contemplados y regulados, los datos clínicos se caracterizan - tratados conforme al principio de minimización) para la protección de la salud nuevas formas de terapia, nuevas tecnologías de tratamiento y nuevos medicamentos. Si nos paramos a pensar, una auténtica paradoja, pues son datos que no deberían conocer personas ajenas al paciente y a los profesionales que le proveen la atención sanitaria sin mediar su consentimiento informado, pero, al mismo tiempo y preservando adecuadamente la privacidad de su titular, deben circular porque encierran una información vital para predecir escenarios sanitarios futuros, de ahí su enorme - tradictoriamente, van más allá de su propia individualidad. Las smarts tecnologies o herramientas inteligentes desempeñan un papel crucial en la atención sanitaria actual, tanto en el ámbito del diagnóstico y tratamiento como en el de los procesos de gestión y organizativos. La materia prima de la que se alimentan no es otra que los datos clínicos de las personas, los cuales son altamente delicados o sensibles porque expresan la esencia más auténtica de nuestro yo físico y psíquico y, por tanto, son susceptibles de exponer al individuo y a su vulnerabilidad (temporal o permanente) a las más mezquinas etiquetas y discriminaciones (pensemos en la contratación laboral, bancaria y de seguros7), de ahí el comprensible temor por las injerencias 7 Acerca de dicha problemática, vid. VIVAS TESÓN, I., “El Derecho contractual antidiscriminatorio: Drittwirkung y libertad negocial”, en Cuadernos de Derecho Transnacional, vol. 13, nº 1, 2021, pp. 672-692. 227Transparencia, protección y control de los datos de salud... indebidas, los riesgos de alteración de la información, así como por los evencosta de nuestros datos. Es innegable que los procesos relacionados con la salud, sobre todo, aquéllos que pueden facilmente mecanizarse por su carácter repetitivo, están transformándose al ritmo vertiginoso que marcan los imparables avances tecnológicos y, en consecuencia, deben ser reformulados a medida que aquéllos van sucediéndose, si bien, por cuanto ahora nos ocupa, un principio que sigue siendo clave y permanece invariable en nuestros días es el de garantizar la diagnóstico y terapia como de investigación. Las entidades y personas involucradas en este sector son muchas: los pacientes y sus familiares, los hospitales y centros de salud (públicos y privados), el personal sanitario8 y de administración de servicios, las empresas farmacéuticas, los proveedores de servicios de la sociedad de la información, los docentes y estudiantes universitarios, etc. Por si fuera poco, a ellos se sude cantidades ingentes de datos personales para realizar el aprendizaje automático (machine learning) y extraer decisiones algorítmicas (verdades construidas por un software), que, lejos de ser neutrales (ni técnica ni éticamente) y exentas de sesgos como ingenuamente pudiera pensarse, pueden llegar a ser dañinas para el paciente. Uno de los problemas frecuentes en la práctica está ligado a la falta de concienciación tanto de los pacientes como de los operadores acerca de las implicaciones que conlleva la cesión y control de datos de carácter personal, pues ello se percibe por unos y otros como un mero trámite burocrático que se limita a la entrega de documentación y marcado de una casilla y no como un derecho fundamental a la protección de la información relativa a nosotros mismos. Los distintos profesionales que gestionan las historias clínicas de los 8 Entre los operadores sanitarios que ejercen una actividad asistencial podemos citar, sin ánimo de exhaustividad: médicos, farmacéuticos; odontólogos; veterinarios; psicólogos; enfer- Para mayor detalle, vid. la Ley 44/2003, de 21 de noviembre, de Ordenación de las Profesiones Sanitarias. No puede olvidarse que los datos de salud también son tratados en ámbitos distintos al sanitario, como las clínicas de estética y centros de piercings, micropigmentación y tatuajes, que no tienen la consideración de operadores sanitarios pero que han de cumplir la correspondiente reglamentación administrativa en cuanto a las condiciones técnicas e higiénico-sanitarias que han de observar los establecimientos y los profesionales de dichas actividades. Asimismo, los datos de salud son proporcionados a clubs deportivos, centros educativos y a aseguradoras. Así las cosas, los datos de salud no se circunscriben únicamente el sector médico-sanitario. Inmaculada Vivas Tesón228 mismas. La irrupción de las tecnologías en la práctica sanitaria ha supuesto un auténtico cambio de paradigma, el cual ha tenido un impulso acelerado a raíz de la pandemia mundial del Covid-19. Son muchas las herramientas digitales de salud: videoconsultas, acceso de imágenes online, informes médicos digitalizados, chatbots - gicos (como la frecuencia cardíaca, el nivel de glucosa en sangre, la saturación de oxígeno o la presión arterial) y monitorizar las condiciones de salud para diagnosticar enfermedades de forma más ágil y precisa, prescripciones electró- Apps móviles sanitarias (sobre éstas, ha de tenerse en cuenta que no todas las aplicaciones sobre nutrición, deporte y estilos de vida saludables que instalamos en nuestros smartphones y tablets son productos sanitarios a los efectos del Reglamento UE 2017/745, del Parlamento Europeo y del Consejo de 5 de abril de 20179, si bien todas recopilan datos clínicos de sus usuarios –vgr. alergias, intolerancias alimentarias, índice de masa corporal, etc.-). Nuestra salud está en línea y nuestros datos sensibles se albergan en servidores o circulan por y entre redes informáticas con suma facilidad. Las amenazas y peligros aumentan a la par que el número de dispositivos e infraestructuras sanitarias conectadas. El escenario es, indudablemente, harto complejo, pero debe ser exactamente igual de garantista con los derechos y libertades fundamentales de la persona como lo viene siendo hasta ahora. Las reglas del juego deben seguir siendo las mismas, también en el campo de la IA aplicada a la salud y a los cuidados, en el que se plantean problemáticas jurídicas novedosas, como la relativa a la responsabilidad médico-sanitaria por los daños causados por máquinas supuestamente inteligentes pero, en cuanto a la que ahora nos ocupa, la concerniente a la protección de los datos médicos, nada cambia. Los algoritmos no están por encima de la ley. Revelar una información de salud no puede ser fruto de la elección de otros, sino una decisión consciente y consentida de su titular. Tampoco puede depender de un error en la comunicación de resultados a persona distinta de - cas de los sistemas informáticos. La máxima seguridad en el uso y circulación de los datos personales en la prestación de un servicio en el ámbito sanitario ha de constituir un objetivo prioritario al margen de cuál sea el concreto es- 9 Vid. art. 2.1 del Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo de 5 el Reglamento (CE) n.º 178/2002 y el Reglamento (CE) n.º 1223/2009 y por el que se derogan las Directivas 90/385/CEE y 93/42/CEE del Consejo, aplicable desde el 26 de mayo de 2021. 229Transparencia, protección y control de los datos de salud... tado de la tecnología (el actual y el que esté por venir) y de sus particulares Vivimos en el milenio dominado por la omnipotencia del dato y por las TICs, cuyas ventajas, a estas alturas, son indiscutibles, pero también los riesgos que encierran en cuanto a la vulneración de los derechos fundamentales de la persona. Así las cosas, debe seguir apostándose por las tecnologías emergentes, pero velando por la protección de los derechos y libertades de los ciudadanos y, más concretamente, reforzando los protocolos de privacidad y seguridad en el tratamiento automatizado de los datos clínicos mediante la contemporáneo ha de tratarse de alcanzar una equilibrada integración entre la dimensión humana y el avance tecnológico en salud. El mensaje es claro: debemos avanzar en las tecnologías pero sin deshumanizar un ápice el entorno sanitario. 2. EL MARCO NORMATIVO DE LOS DATOS PERSONALES EN EL ÁMBI- TO SANITARIO: UN ANÁLISIS CRÍTICO El escenario regulatorio de los datos de carácter personal ha encontrado un decisivo impulso en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD), el cual ha pretendido ponerse al mismo nivel que el irrefrenable progreso técnico, lo que, seamos realistas, resulta imposible. Al momento de publicarse la norma comunitaria, su obsolescencia estaba ya más que asegurada. La sociedad - rablemente, de los de la sociedad de la información. - gún el cual son los datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud10. Su Considerando 35, de forma más pormenorizada, establece que “entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre 10 Para un detenido estudio, vid. BELTRÁN AGUIRRE, J. L., “Tratamiento de datos personales de salud: Incidencia del reglamento general de protección de datos”, en Salud electrónica: Perspectiva y realidad, PÉREZ GÁLVEZ (dir.), Tirant lo Blanch, Valencia, 2017, pp. 86-123. Inmaculada Vivas Tesón230 la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo númeunívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enbiomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro”. Tales datos se incluyen en la categoría más amplia de datos sujetos a tratamiento especial contemplados por el art. 9 del RGPD, ya que son capaces de revelar detalles muy íntimos de la persona, razón por la cual son objeto de protección reforzada. Dicho precepto establece una prohibición general sobre el tratamiento de datos relativos a la salud que el propio legislador comunitario levanta cuando concurra una de las circunstancias contempladas en su apartado 2º, algunas otras los comprenden al no hacer distinción en cuanto a concretos tipos de datos: Consentimiento explícito del interesado; Resulte necesario para el cumplimiento de obligaciones y el ejercicio de en el ámbito del Derecho laboral y de la seguridad y protección social; Resulte necesario para proteger intereses vitales del interesado, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; Es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organissindical; - mente públicos; 231Transparencia, protección y control de los datos de salud... Es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; Es necesario por razones de un interés público esencial; la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad; Es necesario por razones de interés público en el ámbito de la salud pública11, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios; - El art. 9, en su apartado 4º, deja a los Estados miembros la posibilidad de “mantener o introducir nuevas condiciones, incluidas limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”, lo que puede entorpecer la deseable armonización del tratamiento de tales categorías de datos en la Unión Europea al permitirse que los Derechos nacionales adopten medidas diferentes. De ello es consciente del RGPD: “el presente Reglamento debe establecer condiciones armonizadas para el tratamiento de categorías especiales de datos personales relativos a la 11 Según el Considerando 54 del RGPD, “el tratamiento de categorías especiales de datos personales, sin el consentimiento del interesado, puede ser necesario por razones de interés público en el ámbito de la salud pública. Ese tratamiento debe estar sujeto a medidas adecuadas y - Europeo y del Consejo (1), es decir, todos los elementos relacionados con la salud, concretamente el dicho estado de salud, las necesidades de asistencia sanitaria, los recursos asignados a la asistencia sanitaria, la puesta a disposición de asistencia sanitaria y el acceso universal a ella, así como los gasrelativos a la salud por razones de interés público no debe dar lugar a que terceros, como empresa- Inmaculada Vivas Tesón238 Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros. Por consiguiente, el derecho de acceso a la historia clínica por el propio paciente (o sus representantes legales19), esto es, a su propia información personal, no es absoluto, pues está sujeto a las limitaciones legalmente establecidas. En el caso de pacientes fallecidos, el acceso a la historia clínica por personas con vínculo familiar o de hecho puede ser vetado expresamente por el propio paciente en vida. Sin embargo, la problemática se plantea, mayormente, ante los accesos indebidos a la historia clínica por terceros que no son ni el paciente ni sus allegados, esto es, profesionales sanitarios que no intervienen en la atención al paciente, personal de administración, gestión o inspección del centro sanitario o bien personas ajenas al ámbito asistencial. La trazabilidad de tales accesos no auto- Vayamos por partes. El art. 7.1 de la LAP dispone que “toda persona tiene derecho a que se respeacceder a ellos sin previa autorización amparada por la Ley”. Pues bien, una de las cuestiones controvertidas que se plantea en relación a dicho principio de preservación de la privacidad de los datos de salud de las Sospechas de haber sido víctima de malos tratos. Comportamientos insólitos. Los profesionales sanitarios deberán abstenerse de incluir expresiones, comentarios o datos que no tengan relación con la asistencia sanitaria del paciente o que carezcan de valor sanitario”. Acerca de la materia, vid. SEOANE RODRÍGUEZ, J. A., “Historia clínica y derechos fundamen- Datospersonales.org: La revista de la Agencia de Protección de Datos de la Comunidad de Madrid, nº 21, 2006. 19 Una cuestión no resuelta a día de hoy de manera satisfactoria es la consulta de la historia clínica del menor de edad por parte de sus representantes legales, sobre todo, cuando el hijo tiene 16 años, mayoría de edad sanitaria. De ello tuvimos ocasión de ocuparnos en VIVAS TESÓN, I., “Autodeterminación informativa, validez del consentimiento y protección de datos sensibles: críticas al nuevo marco normativo”, en Revista de Derecho y genoma humano: genética, biotecnología y medicina avanzada, nº 1, 2019, pp. 233-271. 239Transparencia, protección y control de los datos de salud... - sionales sanitarios es si el paciente tiene derecho a ser informado acerca de la asistenciales (para utilizar en un proceso de divorcio, por tratarse de un personaje famoso, etc.) y, en su caso, a conocer la identidad de la persona que consulta indebidamente dicha información reservada, conducta que, además de infringir el correspondiente código deontológico y ser susceptible de sanción disciplinaria, es constitutiva de delito, en concreto, el de descubrimiento y revelación de secretos (art. 197 del Código penal), por ello que sobre la materia encontremos pronunciamientos de nuestros tribunales, como, entre otros, la Sentencia de 25 de septiembre de 2020 de la Sala de lo penal del Tribunal Supremo, que ventila el caso del acceso de dos enfermeros a la historia clínica de un compañero que se encontraba en situación de baja laboral sin su consentimiento ni conocimiento y la correspondiente denuncia, los dos enfermeros fueron condenados penalmente, así como al pago de una indemnización por los perjuicios causados. El procedimiento giró, concretamente, en torno a la licitud o no de la prueba obtenida, de manera irregular, por el denunciante para conocer quién había accedido a su historia clínica (“pantallazos” que le proporcionó un médico) y, en su caso, si con ello habían sido conculcados los derechos de los acusados en el proceso20. 20 El Supremo, al realizar el correspondiente juicio de ponderación, toma en consideración lo siguiente: a) En cuanto a la entidad o naturaleza de la ilicitud en la obtención de pruebas, el hecho de codel derecho a la protección de datos. Según declara la STC 292/2000, de 30 de noviembre, el derecho reconocido en el art. 18.4 CE “[...] contiene, en los términos de la STC 254/1993, un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo “un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama la informática”, lo que se ha dado en llamar “libertad informática” (FJ 6, reiterado luego en las SSTC 143/1994, FJ 7, 11/1998, FJ 4, 94/1998, FJ 6, 202/1999, FJ 2). La garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad (art. 18.1 CE), y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada “libertad informática” es así derecho a controlar el uso de los mismos datos insertos en un programa informático (“habeas data”) [...]”. Difícilmente puede invocar ese derecho quien, como el recurrente, accede a un sistema informático violentando las normas de acceso para conocer información reservada de otra persona y cuando, además, su conducta es constitutiva de delito. Es cierto que el denunciante también accedió a la información del sistema al margen de las vías previstas legal o reglamentariamente, pero esa irregularidad no es comparable y, desde luego, carece de relevancia constitucional. El denunciante accedió a sus propios datos personales, Inmaculada Vivas Tesón240 Según el art. 15.2 de la LAP, el contenido mínimo de la historia clínica es el siguiente: a) La documentación relativa a la hoja clínico-estadística. b) La autorización de ingreso. c) El informe de urgencia. d) La anamnesis y la exploración física. e) La evolución. f) Las órdenes médicas. g) La hoja de interconsulta. h) Los informes de exploraciones complementarias. i) El consentimiento informado. j) El informe de anestesia. k) El informe de quirófano o de registro del parto. l) El informe de anatomía patológica. n) La aplicación terapéutica de enfermería. o) El informe clínico de alta21. irregularidad de su conducta se limitó a no haber utilizado el cauce reglamentariamente previsto. En cambio, los condenados accedieron al sistema no sólo al margen de los cauces previstos legamente, sino para conocer una información ajena, que no les era permitido conocer, cometiendo un delito. Las conductas descritas no son equiparables y en el caso de los recurrentes no hubo lesión alguna de su derecho a la protección de datos. La ausencia de lesión constitucional bastaría por sí para rechazar la nulidad de las pruebas que se interesa en el recurso. b) Por otra parte y desde una perspectiva interna, en relación con el proceso al que las pruebas se aportaron, la actuación del denunciante no parece que estuviera orientada a obtener pruebas al margen de los cauces constitucionalmente exigibles, sino simplemente a obtener información. Además, la actuación del denunciante no tuvo ningún tipo de conexión instrumental, objetiva o subjetiva, con las actuaciones investigadoras de las autoridades o funcionarios españolas. Fue previa al inicio de las investigaciones policiales, y absolutamente desconectada de éstas. c) Y, por último, desde el punto de vista externo, tampoco apreciamos la existencia de un riesgo cierto de propiciar, con la admisión de la prueba controvertida, prácticas que comprometan pro futuro la efectividad del derecho fundamental en juego en el ordenamiento jurídico español” (FJ. 1º). En consecuencia, la petición de nulidad de las pruebas de cargo no es acogida favorablemente. 21 Los párrafos b), c), i), j), k), l), ñ) y o) sólo serán exigibles en la cumplimentación de la historia clínica cuando se trate de procesos de hospitalización o así se disponga. 241Transparencia, protección y control de los datos de salud... Como puede fácilmente inferirse del tenor literal del precepto, se trata de un “contenido de mínimos” y, dado que la LAP es una norma estatal básica, si una autonómica contemplara un contenido adicional de la historia clínica, deberá estarse a lo en ella dispuesto, en concreto, por cuanto ahora nos incumbe, si prevé que el contenido del derecho de acceso a la historia clínica comprende, también, conocer quién ha accedido a la misma, tal y como hacen, entre otras, el art. 35.3 de Ley 3/2005, de 8 de julio de información sanitaria y autonomía del paciente de Extremadura y el art. 31.1 de la Ley foral 17/2010, de 8 de noviembre, de derechos y deberes de las personas en materia de salud en la Comunidad foral de Navarra, según los cuales el paciente tiene derecho “a conocer en todo caso quién ha accedido a sus datos sanitarios, el motivo del acceso y el uso que - lares términos, el art. 22.2 del Decreto 51/2019, de 21 de junio, por el que se regulan la historia clínica y otra documentación clínica del Principado de Asturias dispone que “el paciente tiene derecho a conocer en todo caso quién ha accedido a sus datos sanitarios y el motivo del acceso”. La Agencia Española de Protección de Datos (AEPD) ha sostenido, en reiteradas ocasiones22, que el derecho de acceso del paciente a su historia clínica no incluye conocer la identidad de las personas que dentro del ámbito de orgacontenida en el mismo, salvo que en la normativa autonómica aplicable o en otras normas se prevea expresamente dicha posibilidad. El argumento esgrimipor consiguiente, su revelación al paciente supone una “cesión o comunicación de datos” que requiere el consentimiento de su titular. accede indebidamente a la historia clínica pertenece al mismo ámbito de control y gestión del responsable del tratamiento23, tal vez no estemos ante una cesión de datos personales a los efectos de la normativa aplicable a los mismos. Dicho de otro modo, la regulación de la protección de datos personales, a nuestro juicio, no impide comunicar al paciente la información relativa a la trazabilidad del personal (asistencial, de administración, de inspección, etc.) 22 Informes jurídicos 165/2005 y 165/2005, 171/2008 y 0003/2021 (en el que analiza, en su postura), así como las Resoluciones R/00948/2011, R/00945/2013 y R/02488/2015. 23 persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, - cos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Inmaculada Vivas Tesón242 que presta servicios o está bajo la dependencia del propio responsable del tratamiento, el cual tiene la obligación de adoptar las medidas técnicas y organizativas necesarias apropiadas para garantizar la seguridad de los datos personales tratados, incluida la protección contra el tratamiento no autorizado o ilícito [arts. 5.1.f) y 24 del RGPD]. Por otra parte, el derecho de acceso es una de las facultades esenciales que integran el derecho fundamental a la protección de datos personales, mediante la cual el titular puede conocer qué datos sobre su persona son objeto de tratamiento. Además, dicha facultad es la base del ejercicio de otras reconocidas oposición. Conforme a ello, las limitaciones del derecho de acceso deben ser las mínimas, dado que mediante su ejercicio se garantiza la efectividad del derecho fundamental a la protección de datos personales. A mayor abundamiento, si conforme a lo previsto en el art. 15.1.c)24 y f) del RGPD, el interesado tiene derecho a conocer los destinatarios a los que se hayan comunicado los datos personales y a formular una denuncia por falta de seguridad del sistema, parece lógico que, si se producen accesos no autorizados, se le informe de ello, si así lo solicita, para poder formular la pertinente autores de tales consultas indebidas a su historia clínica, lo único que le queda al paciente afectado es solicitar dicha información, como prueba, en el seno de un procedimiento judicial. Ante ello, el interrogante que nos surge es claro: ¿debe mantenerse, hoy día, una interpretación tan restrictiva del “derecho de acceso a los accesos no autorizados de la historia clínica” del paciente, obligándole a acudir a los tribunales para obtener la información sobre la trazabilidad de aquéllos? Creemos que no. El paciente debe ver garantizado plenamente su derecho al control de sus datos de salud, conforme al cual tiene un interés legítimo en conocer, de manera nominal, los accesos a su historia clínica que se han producido para comprobar si se ha dado o no cumplimento a las correspondientes previsiones normativas y, en caso de corroborar sus sospechas de accesos indebidos 24 Según el Considerando 63 del RGPD, “los interesados deben tener derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a interde los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. Todo interesado debe, por tratan los datos personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en la elaboración de 243Transparencia, protección y control de los datos de salud... y constatar eventuales irregularidades en cuanto a las medidas legalmente exigibles al responsable del tratamiento en relación a la gestión de su historia clínica, decidir si presentar una reclamación (art. 77 del RGPD) o interponer una acción judicial para defender sus derechos e intereses. Para ello, resulta - torizados, acceden a su historia clínica, pues, de lo contrario, además de una - mentando tales prácticas ilícitas. Acerca de la interpretación de la redacción literal del art. 15.1.c) del RGPD se ha pronunciado la reciente Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera) de 12 de enero de 2023 (C-154/2021: caso RW contra Österreichische Post), la cual resuelve la cuestión prejudicial planteada, con arreglo al art. 267 TFUE, por el Oberster Gerichtshof, el Tribunal Supremo de lo civil y penal de Austria. Los antecedentes del litigio principal son los que siguen: el 15 de enero de 2019, RW solicitó a Österreichische Post AG, el principal operador austríaco de servicios postales y logísticos, en virtud del art. 15 del RGPD, acceso a los datos personales que le concernían que éste conservaba o había conservado en el pasado, así como, en caso de que los datos se hubieran comunicado a terceros, la identidad de esos destinatarios. En respuesta a dicha solicitud, Österreichische Post se limitó a señalar que utilizaba los datos, dentro de los límites legales, en el ejercicio de su actividad como editorial de guías telefónicas y que ofrecía esse remitió a un sitio de Internet que ofrecía más información, también relativa Österreichische Post no comunicó a RW la identidad de los destinatarios concretos de los datos. RW demandó a Österreichische Post ante los tribunales austríacos, solicitando que le se ordenase que le facilitase, en particular, la identidad del destinatario o de los destinatarios a los que se habían comunicado sus datos personales. Durante el procedimiento judicial, Österreichische Post informó a RW de que - dos a clientes, entre los que se encontraban anunciantes del sector de la venta por correspondencia y del comercio físico, empresas informáticas, editores de directorios y asociaciones como organizaciones caritativas, organizaciones no gubernamentales (ONG) o partidos políticos. Los tribunales de primera instancia y de apelación desestimaron el recurso de RW por considerar que el art. 15, apartado 1º, letra c) del RGPD, en la concede al responsable del tratamiento la posibilidad de indicar al interesado Inmaculada Vivas Tesón244 únicamente las categorías de destinatarios sin tener que facilitar los nombres de los destinatarios concretos a quienes son transmitidos los datos personales. RW interpuso recurso de casación ante el Oberster Gerichtshof, el cual se pregunta sobre la interpretación del art. 15, apartado 1º, letra c) del RGPD, por cuanto el tenor de dicha disposición no permite saber claramente si concede al responsable del tratamiento la libertad de elegir si comunica la identidad concreta de los destinatarios o sólo las categorías de destinatarios, o si ofrece al interesado el derecho a conocer su identidad concreta. Dicho órgano jurisdiccional señala que la ratio legis de la mencionada disposición aboga a favor de la interpretación según la cual el interesado es quien tiene la opción de solicitar información relativa a las categorías de destinatarios o a los destinatarios concretos de sus datos personales. A su juicio, cualquier interpretación contraria menoscabaría gravemente la efectividad de las vías de recurso de que dispone el interesado para proteger sus datos. En su opinión, si se diera a los responsables la posibilidad de optar entre indicar a los interesados los destinatarios concretos o indicar únicamente las categorías de destinatarios, es de temer que, en la práctica, casi ninguno de ellos facilitaría la información relativa a los destinatarios concretos. Además, en su entender, a diferencia de los arts. 13, apartado 1º, letra e) y 14, apartado 1º, letra e) del RGPD, que obligan al responsable del tratamiento a facilitar la información a que hacen referencia, el art. 15, apartado 1º hace hincapié en el alcance del derecho de acceso del interesado, lo que también parece indicar, según dicho órgano jurisdiccional, que el interesado tiene derecho a elegir entre solicitar información sobre los destinatarios concretos o sobre las categorías de destinatarios. Por último, el Tribunal Supremo austríaco añade que el derecho de acceso establecido en el art. 15, apartado 1º del RGPD no a todos los datos tratados en el pasado25. En estas circunstancias, el Oberster Gerichtshof decidió suspender el procedimiento y plantear al Tribunal de Justicia europeo la siguiente cuestión prejudicial: “¿Debe interpretarse el art. 15, apartado 1º, letra c) del RGPD en el sentido de que, en el caso de comunicaciones previstas respecto de las que aún no se hayan determinado los destinatarios concretos, el derecho de acceso se limita a la información sobre las categorías de destinatarios, mientras que, en el caso de que los datos ya hayan sido comunicados, el derecho de acceso debe 25 A este respecto, señala que las consideraciones expuestas en su Sentencia de 7 de en la Directiva 95/46, pueden transponerse al derecho de acceso contemplado en el art. 15 del RGPD, máxime cuando de los Considerandos 9º y 10º de este Reglamento puede deducirse que el legislador de la Unión no pretendió reducir el nivel de protección en relación con la citada Directiva. 245Transparencia, protección y control de los datos de salud... extenderse necesariamente también a la información sobre los destinatarios de esas comunicaciones?”. En su Sentencia, el TJUE realiza las siguientes consideraciones: Con carácter preliminar, recuerda que, según reiterada jurisprudencia, la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no sólo su tenor, sino también el contexto en el que se inscribe, así como 26. Además, cuando pueda ser objeto de varias interpretaciones, deberá darse prioridad a la 27. En cuanto a la redacción del art. 15, apartado 1, letra c) del RGPD, señala que los términos “destinatarios” y “categorías de destinatarios” se utilizan sucesivamente, sin que sea posible deducir un orden de prioridad entre uno y otro. Dicho tenor no permite determinar, de manera unívoca, si el interesado tiene, en el supuesto de que hayan sido o vayan a ser comunicados datos personales que le conciernen, derecho a ser informado de la identidad concreta de los destinatarios de estos datos. Por lo que respecta al contexto en el que se inscribe el art. 15, apartado 1, letra c) del RGPD, recuerda que el Considerando 63 del Reglamento establece que el interesado debe tener derecho a conocer y a que se le comunique, en particular, la identidad de los destinatarios de esos datos personales y no precisa que ese derecho pueda limitarse únicamente a las categorías de destinatarios. Asimismo recuerda que, para dar cumplimiento al derecho de acceso, todo tratamiento de datos personales de las personas físicas debe ser conforme con los principios enunciados en el art. 5 del RGPD, entre los cuaque el interesado de que se trate disponga de información sobre la forma en la que son tratados sus datos personales y que esa información sea fácilmente accesible y comprensible. Señala que, a diferencia de los arts. 13 y 14 del RGPD, que obligan al responsable del tratamiento a facilitar al interesado la información relativa a las categorías de destinatarios o a los destinatarios concretos de los datos personales que le conciernen, en función de si estos datos se han obtenido o no del interesado, el art. 15 establece un verdadero derecho de acceso en favor del interesado, de modo que éste debe tener la posibilidad de elegir entre obtener hayan sido o vayan a ser comunicados, cuando sea posible, y obtener información sobre las categorías de destinatarios. 26 27 Sentencia de 7 de marzo de 2018, Cristal Union, C-31/17. Inmaculada Vivas Tesón246 Recuerda que en una ocasión anterior ha declarado28 que el ejercicio de este derecho de acceso debe permitir al interesado comprobar no sólo que los datos personales que le conciernen son exactos, sino también que son tratados lícitamente, en concreto, que son comunicados a los destinatarios autorizados29. En particular, este derecho de acceso es necesario para permisupresión (“derecho al olvido”) y su derecho a la limitación del tratamiento, reconocidos, respectivamente, en los arts. 16, 17 y 18 del RGPD, así como su derecho de oposición al tratamiento de sus datos personales, contemplado en el art. 21 del RGPD, y su derecho a recurrir por los daños sufridos, previsto en los arts. 79 y 82 del RGPD. Así, pues, para garantizar la efectividad de todos sus derechos, el interesado debe tener, en particular, derecho a ser informado de la identidad de los destinatarios concretos cuando sus datos personales ya hayan sido comunicados. establece, en su primera frase, que el responsable del tratamiento comunicará, en principio, a cada uno de los destinatarios a los que se hayan comunicado los - mitación del tratamiento y, en su segunda frase, que este responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita. De este modo, informado acerca de los destinatarios concretos de los datos que le conciernen por el responsable del tratamiento en el marco de la obligación que éste tiene de informar a todos los destinatarios del ejercicio de los derechos de que ese interesado dispone en virtud de los arts. 16, 17.1 y 18 del RGPD. Del análisis contextual que precede, el Tribunal concluye que el art. 15, apartado 1º, letra c) del RGPD constituye una de las disposiciones que tienen por objeto garantizar, en favor del interesado, la transparencia de los modos de tratamiento de los datos personales, que le permite ejercer las prerrogativas previstas, en particular, en los arts. 16 a 19, 21, 79 y 82 del RGPD. Por consiguiente, cabe considerar que la información facilitada al interesado en virtud del derecho de acceso establecido en el art. 15, apartado 1º, letra c) del RGPD debe ser la más exacta posible. En particular, este derecho de acceso implica la posibilidad de que el interesado obtenga del responsable del tratamiento la información sobre los destinatarios concretos a los que se comunicaron o serán comunicados los datos o que, alternativamente, opte por limitarse a solicitar información relativa a las categorías de destinatarios. 28 Vid., por analogía, las Sentencias de 17 de julio de 2014, YS y otros, C-141/12 y C-372/12, y de 20 de diciembre de 2017, Nowak, C-434/16. 29 Vid., por analogía, la Sentencia de 7 de mayo de 2009, Rijkeboer, C-553/07. 247Transparencia, protección y control de los datos de salud... - nal europeo señala que tiene por objeto, en particular, tal y como se desprende de su Considerando 10, garantizar un nivel elevado de protección de las personas físicas dentro de la Unión30, conforme a las exigencias derivadas del derecho fundamental a la protección de los datos personales consagrado en el art. 8 de la Carta de los derechos fundamentales de la Unión Europea. En ello encuentra respaldo el Tribunal encuentra para sostener la interpretación del art. 15, apartado 1º, letra c) que realiza en la sentencia, esto es, que el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios concretos a los que hayan sido o vayan a ser comunicados los datos personales que le conciernen. Por último, el Tribunal subraya que, como resulta del Considerando 4 del RGPD, el derecho a la protección de los datos personales no es un derecho absoluto, pues debe considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales, de conformidad con el principio de proporcionalidad31. Por tanto, cabe admitir que, en determinadas circunstancias, no sea posible facilitar información sobre destinatarios concretos. En consecuencia, el derecho de acceso podrá limitarse a la información sobre las categorías de destinatarios cuando no sea posible comunicar la identidad de los destinatarios concretos, en particular, cuando estos aún no se conozcan. Además, recuerda que, en virtud del art. 12, apartado 5º, letra b) del RGPD, el responsable del tratamiento (en el caso de autos, el Österreichische Post) puede, de conformidad con el principio de responsabilidad contemplado en el art. 5, apartado 2º, y en su Considerando 74, negarse a actuar respecto de las solicituexcesivo de la solicitud. En conclusión, el TJUE, respondiendo a la cuestión prejudicial planteada, señala que el art. 15, apartado 1º, letra c) del RGPD “debe interpretarse en el sentido de que el derecho de acceso del interesado a los datos personales que le conciernen, establecido en dicha disposición, implica, cuando esos datos hayan sido o vayan a ser comunicados a destinatarios, la obligación del responsable del tratamiento de facilitar a ese interesado la identidad de esos destinatarios, a menos que no sea en el sentido del art. 12, apartado 5º del RGPD, en cuyo caso éste podrá indicar al interesado únicamente las categorías de destinatarios de que se trate”. 30 Vid. Sentencia de 6 de octubre de 2020, La Quadrature du Net y otros, C-511/18, C-512/18 y C-520/18. 31 Vid. Sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C-311/18.