La protección de los datos personales relativos a la salud. La historia clínica como eje vertebrador

1 Tesis Doctoral LA PROTECCIÓN DE LOS DATOS PERSONALES RELATIVOS A LA SALUD. LA HISTORIA CLÍNICA COMO EJE VERTEBRADOR Doctoranda: Patricia Craviotto Valle Directora: Inmaculada Vivas Tesón Sevilla, 2022 2 3 “Si no es correcto, no lo hagas. Si no es verdad, no lo digas” Marco Aurelio 4 5 AGRADECIMIENTOS Es justo agradecer a la Universidad de Sevilla y en concreto al Vicedecano de Investigación y Doctorado, D. Fernando H. Llano Alonso, por confiar en mí para doctorar en Derecho. Agradezco especialmente a mi directora y tutora, Dª. Inmaculada Vivas Tesón, por ser mi guía en este proyecto. Su ayuda y ánimo han sido fundamentales. Gracias por supervisarme, aconsejarme y por el cariño y amparo recibidos. Gracias a los compañeros de la Biblioteca de Derecho por su apoyo; a mis alumnos, por su comprensión; a los profesionales de la salud, por ayudarme desinteresadamente, y a mis amigos y familiares, Trini, Carmen, Carlos, Bruno y Mariloli. Sé que puedo contar con vosotros siempre. Gracias al abuelo Ginés, por considerarme una hija, y a mis hijos, sus nietos. Gracias a mi padre, Juan Craviotto, por su cariño, templanza y nobleza; norte que continúa orientando mi vida. Y gracias, a mi familia. A mis hijos, Marco, Carmen, Estrella y Olivia, motores y alegría de mi vida. Gracias por aguantar estoicamente todo este tiempo sin dejar de darme todo el amor que se puede soñar. Y a Ginés, por ser manantial de energía, risas y abrazos. Sin vosotros, sin vuestra luz y calor, esta Tesis Doctoral, simplemente, no habría sido posible. 6 7 ÍNDICE ABREVIATURAS ………………………………………………………………….… 9 INTRODUCCIÓN ………………………………………………………….……..… 13 CAPÍTULO I: EL MARCO REGULATORIO DE LOS DATOS PERSONALES RELATIVOS A LA SALUD I. CUESTIONES PREVIAS ………………………………………………………... 19 II. LA ESTRATEGIA EUROPEA DE DATOS, CON ESPECIAL ATENCIÓN A LOS RELATIVOS A LA SALUD ………………………………………………..… 20 III. EL RÉGIMEN JURÍDICO DE LOS DATOS PERSONALES DE SALUD EN EL DERECHO ESPAÑOL ……………………………………………………….... 32 3.1. EL MARCO CONSTITUCIONAL …………………………………………….. 32 3.1.1 El derecho fundamental a la protección de datos de carácter personal ... 34 3.1.2. El derecho a la protección de la salud ………………………………..…… 41 3.1.2.1. Un derecho humano y transversal ………………………………….…… 41 3.1.2.2. Un principio rector de la política social y económica que debiera ser un derecho fundamental ……………………………………….………………………. 48 3.1.2.3. Un derecho con una doble dimensión …………………………………... 57 3.1.2.4. Su titularidad ……………………………………………………………….. 62 3.1.2.5. La discriminación por razón de salud …………………..……………….. 64 3.1.3. Los derechos fundamentales afectados por el uso indebido de datos personales de salud ………………………………………………………………… 78 3.2. EL RÉGIMEN NORMATIVO ESTATAL …………………………………….. 97 3.3. LA DISPAR LEGISLACIÓN AUTONÓMICA ……………….…………….. 118 CAPÍTULO II: EL TRATAMIENTO DE LOS DATOS DE SALUD I. LOS PRINCIPIOS INFORMADORES DEL TRATAMIENTO ……………..... 125 1.1. LICITUD, TRANSPARENCIA Y LEALTAD ……………………………..…. 127 1.2. LIMITACIÓN DEL FIN Y MINIMIZACIÓN DE DATOS …………….……… 134 1.3. PRECISIÓN ……………………………………………………………..……. 139 1.4. LIMITACIÓN DEL PLAZO DE CONSERVACIÓN ………………………… 143 1.5. CONFIDENCIALIDAD, INTEGRIDAD Y DEBER DE SECRETO ……….. 148 1.6. PROPORCIONALIDAD ……………………………………………………… 153 1.7. RESPONSABILIDAD PROACTIVA ………………………………..………. 156 II. DATO SANITARIO VS. INFORMACIÓN CLÍNICA ……………………..….. 162 III. LA LEGITIMACIÓN PARA EL TRATAMIENTO DE DATOS ……….…….. 165 3.1. EN EL SECTOR DE LA SALUD …………………………………………….. 165 3.2. EN ÁMBITOS NO SANITARIOS ……………………………………...…….. 170 8 CAPÍTULO III: LA HISTORIA CLÍNICA Y OTROS SOPORTES DE DATOS SANITARIOS I. LA HISTORIA CLÍNICA ……………………………………………………….. 185 1.1. CONCEPTO Y FINALIDAD ……………………………..………………...… 185 1.2. SU CONTENIDO ……………………………………………………...……… 195 1.2.1. Consideraciones previas …………………………………………….……. 195 1.2.2. Contenido mínimo ………………………………………………….………. 197 1.2.3. La aplicación del principio de minimización de datos ……………….….. 199 1.2.4. Cuestiones controvertidas en torno a la vacunación ……………………. 206 1.3. SU CONSERVACIÓN …………………………………………………….…. 222 1.4. EL DERECHO DE ACCESO ……………………………………..………… 226 1.4.1. Acceso y uso …………………………………………………………….…. 226 1.4.2. El acceso del paciente mayor de edad …………………………………... 235 1.4.2.1. El paciente con discapacidad tras la Ley 8/2021 ……………….…….. 238 1.4.2.2. El controvertido derecho de reserva de las anotaciones subjetivas del profesional sanitario …………………………………………………...………….. 241 1.4.3. El acceso de los representantes legales del menor de edad ………….. 251 1.4.4. El acceso a la historia clínica de persona fallecida ……………………… 259 1.5. PÉRDIDA Y ALTERACIÓN DE LA HISTORIA CLÍNICA ……………….… 263 II. EL DOCUMENTO DE VOLUNTADES ANTICIPADAS ………………….… 267 III. LAS APPs DE SALUD, LOS DISPOSITIVOS mHEALTH Y LOS SISTEMAS DE INTELIGENCIA ARTIFICIAL …………………..………………………...…. 271 CONCLUSIONES …………………………………………………………………. 285 ANEXO LEGISLATIVO ………………………………………………….……….. 291 ANEXO BIBLIOGRÁFICO …………………………………………………..…… 303 ANEXO JURISPRUDENCIAL …………………………………………..………. 321 9 ABREVIATURAS AEPD Agencia Española de Protección de Datos AJPI Auto del Juez de Primera Instancia AP Audiencia Provincial art. Artículo BOD Boletín Oficial del Ministerio de Defensa BOE Boletín Oficial del Estado CBE Comité de Bioética de España CC Código Civil CCAA Comunidades Autónomas CDPD Convención sobre los Derechos de las Personas con Discapacidad CE Constitución Española de 1978 CEE Comunidad Económica Europea CDFUE Carta de los Derechos Fundamentales de la Unión Europea coords. Coordinadores CP Código Penal Dir. Dirección DNI Documento Nacional de Identidad DUDH Declaración Universal de Derechos Humanos EEDS Espacio Europeo de Datos Sanitarios FJ Fundamento Jurídico HC Historia clínica IA Inteligencia Artificial INE Instituto Nacional de Estadística IoT Internet of Things IVE Interrupción voluntaria del embarazo JPI Juez de Primera Instancia LAP Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica 16 Si bien los datos de salud son recopilados en multitud de soportes, es la HC la fuente más importante de datos de salud, razón por la cual a ella se dedica el tercer y último capítulo, sin olvidar el notable impacto que las tecnologías de la información y comunicación están teniendo en la mejora de la calidad asistencial de los pacientes y la relevancia que progresivamente están adquiriendo las tecnologías disruptivas en el entorno sanitario. Para alcanzar los objetivos que nos hemos marcado en la presente investigación, hemos utilizado la metodología descriptiva con técnicas de análisis documental, a partir de la legislación nacional e internacional aplicable a la materia objeto de estudio, así como de los distintos trabajos doctrinales vertidos sobre la misma. A lo largo de la presente investigación se comprobará que nos encontramos ante una compleja materia en la que los numerosos pronunciamientos jurisprudenciales y los informes jurídicos de la Agencia Española de Protección de Datos (en adelante, AEPD), acreditan la trascendencia del tratamiento de los datos de salud tanto para el ciudadano como para la toda la sociedad. Asimismo, se han realizado entrevistas a profesionales de la salud. A todo ello se aplica el método deductivo para concluir lo particular de lo general. 17 CAPÍTULO I: EL MARCO REGULATORIO DE LOS DATOS PERSONALES RELATIVOS A LA SALUD SUMARIO I. CUESTIONES PREVIAS II. LA ESTRATEGIA EUROPEA DE DATOS, CON ESPECIAL ATENCIÓN A LOS RELATIVOS A LA SALUD III. EL RÉGIMEN JURÍDICO DE LOS DATOS PERSONALES DE SALUD EN EL DERECHO ESPAÑOL 3.1. EL MARCO CONSTITUCIONAL 3.1.1 El derecho fundamental a la protección de datos de carácter personal 3.1.2. El derecho a la protección de la salud 3.1.2.1. Un derecho humano y transversal 3.1.2.2. Un principio rector de la política social y económica que debiera ser un derecho fundamental 3.1.2.3. Un derecho con una doble dimensión 3.1.2.4. Su titularidad 3.1.2.5. La discriminación por razón de salud 3.1.3. Los derechos fundamentales afectados por el uso indebido de datos personales de salud 3.2. EL RÉGIMEN NORMATIVO ESTATAL 3.3. LA DISPAR LEGISLACIÓN AUTONÓMICA 18 19 I. CUESTIONES PREVIAS El presente capítulo tiene por objeto analizar el escenario regulatorio en el cual se enmarca, en la actualidad, la protección de los datos personales de salud. Con tal fin, realizaremos un recorrido por las fuentes normativas referentes a la tutela de tales datos tanto en el ámbito de la Unión Europea (en adelante, UE), como, en nuestro Derecho interno, sea en el estatal que en el autonómico. La nuestra es una sociedad globalizada y su vertiginosa transformación tecnológica está incidiendo en todos los ámbitos de la persona. Tras la consolidación de internet, nos encontramos inmersos en la “revolución de los datos”. La protección legal de los datos personales surgió hace poco más de tres décadas para atender las demandas de una sociedad que iba, progresivamente, digitalizándose, a la par que resultaban lesionados los derechos de los ciudadanos, cada día, más vulnerables. Si innegables son las ventajas de los avances tecnológicos, lo son también las amenazas que éstos encierran para los derechos fundamentales de las personas, por ello que sea necesario un marco normativo sólido que reconozca al ciudadano el derecho a controlar sus datos personales, tutele adecuadamente su derecho a la autodeterminación informativa y, a la vez, sea capaz de generar la confianza que tanto precisa la economía digital. Aunque resulte obvio, debe señalarse que el dato sanitario o de salud es un dato personal 2 . Dicho esto, qué duda cabe que cuando la información personal que circula incorpora datos de salud, las garantías legales deben reforzarse aún más por la singular sensibilidad que los caracteriza, exigiéndose requisitos y controles más estrictos en su tratamiento. 2 Así lo precisa, pese a la obviedad, CASANOVA ASENSIO, A. S.: “El tratamiento de los datos personales en el marco de las enfermedades infecciosas”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, pág. 261. 20 Pasamos, a continuación, a conocer el complejo andamiaje jurídico existente en la materia objeto de estudio, analizando, para ello, la normativa general relativa a la protección de datos de carácter personal, así como la que, de manera más específica, se ocupa de los que conciernen a la salud. II. LA ESTRATEGIA EUROPEA DE DATOS, CON ESPECIAL ATENCIÓN A LOS RELATIVOS A LA SALUD El derecho a la protección de datos de carácter personal ha tenido, en los últimos decenios, un extraordinario desarrollo normativo en el ámbito europeo, pudiéndose afirmar, sin temor a errar, que la UE es, en esta materia, líder indiscutible. Recordemos un importante hito, considerado el primer instrumento internacional jurídicamente vinculante en la materia, el Convenio Europeo del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981 (ratificado por España en 1984), así como las tres Directivas cruciales en la armonización de las distintas legislaciones de los Estados miembros, a saber: la Directiva 1995/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos; la Directiva 1997/66/CE, de 15 de diciembre, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones 3 ; y la Directiva 2002/58/CE, de 12 de julio, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas. Tanto el art. 16 del Tratado de Funcionamiento de la UE 4 (en adelante, TFUE) como el art. 8 de la Carta de los Derechos Fundamentales de la Unión 3 Para un detenido análisis de la Directiva 1995/46/CE y de la Directiva 1997/66/CE, vid. BELLO JANEIRO, D.: “La protección de datos de carácter personal en el Derecho comunitario”, en Anuario da Facultade de Dereito da Universidade da Coruña, nº 5, 2001, págs. 135-143. 4 Según el art. 16 del TFUE (antiguo artículo 286 TCE), “1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. 2. El Parlamento Europeo y el Consejo establecerán, con arreglo al procedimiento legislativo ordinario, las normas sobre 21 Europea 5 (en adelante, CDFUE), ya expresaban su especial preocupación por la protección de datos de carácter personal, el cual consagran como un derecho de la persona. Destacable es, al respecto, la extraordinaria labor realizada por el Tribunal de Justicia de la Unión Europea en la progresiva incorporación de los derechos fundamentales al ordenamiento jurídico comunitario y, por consiguiente, en la aplicación del mismo sin necesidad de acudir a las normas constitucionales de los Estados miembros. En particular, ha jugado un papel clave en el reconocimiento del derecho a la protección de datos de carácter personal 6 . Sin poder adentrarnos aquí en actos legislativos relativos a otros sectores de la economía que incluyen normas relativas al intercambio de datos o al acceso a éstos con carácter transfronterizo o en toda la UE, en el ámbito específico de la salud, mencionamos la Directiva 2011/24/UE del Parlamento europeo y del Consejo de 9 de marzo de 2011, relativa a la aplicación de los derechos de los protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión, así como por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión, y sobre la libre circulación de estos datos. El respeto de dichas normas estará sometido al control de autoridades independientes. Las normas que se adopten en virtud del presente artículo se entenderán sin perjuicio de las normas específicas previstas en el artículo 39 del Tratado de la Unión Europea”. 5 El art. 8 de la CDFUE establece que “1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. 2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación. 3. El respeto de estas normas estará sujeto al control de una autoridad independiente”. Para una crítica a dicho precepto, vid. RUÍZ MIGUEL, C.: “El derecho a la protección de los datos personales en la Carta de Derechos Fundamentales de la Unión Europea: análisis crítico”, en Revista de Derecho Comunitario Europeo, nº 14, 2003, págs. 7-43. Una de las dudas generadas en relación al titular de los datos es si las personas jurídicas tienen derecho a la protección de datos personales. PIÑAR MAÑAS, J. L./RECIO GALLO, M.: El derecho a la protección de datos en la jurisprudencia del Tribunal de Justicia de la Unión Europea, Wolters Kluwer, Madrid, 2018, pág. 28, indican que “a diferencia de las personas físicas, en el caso de las personas jurídicas el Tribunal de Justicia ha manifestado que «solo pueden acogerse a la protección de los artículos 7 y 8 de la Carta […] en la medida en que en la razón social de la persona jurídica se identifique a una o varias personas físicas»”. Ello sucedería en el caso de una sociedad limitada unipersonal que llevase el nombre de su titular, por ejemplo, Fisioterapia Patricia Craviotto, S.L.U. 6 Al respecto, vid. PIÑAR MAÑAS, J. L./RECIO GAYO, M.: El derecho a la protección de datos en la jurisprudencia del Tribunal de Justicia de la Unión Europea, cit. y GARRIGA DOMÍNGUEZ, A.: “El papel del Tribunal de Justicia de la Unión Europea como garante del derecho fundamental a la protección de datos personales”, en Democracia, pluralismo y derechos humanos: 500 años. Facultad de Derecho. Universidad de Sevilla. X años de Encuentros hispanos-brasileños de filosofía del derecho y derechos humanos, SÁNCHEZ-BRAVO (dir.), Aranzadi, 2019, págs. 79- 91. 22 pacientes en la asistencia sanitaria transfronteriza 7 , cuyo art. 14 se refiere, por vez primera, a la sanidad electrónica en la legislación de la UE. Sin embargo, el carácter facultativo de sus disposiciones ha supuesto una eficacia limitada a la hora de apoyar el control de las personas físicas sobre sus datos sanitarios electrónicos personales a escala nacional y transfronteriza, así como en cuanto a los usos secundarios de los datos sanitarios electrónicos. En la Comunicación de la Comisión al Parlamento europeo, al Consejo, al Comité económico y social europeo y al Comité de las Regiones de 6 de mayo de 2015, titulada “Una Estrategia para el Mercado Único Digital de Europa” 8 , se reconoce el papel de internet y de las tecnologías digitales en la transformación de nuestras vidas, el cambio en la forma en que los ciudadanos y las empresas acceden a información, adquieren conocimientos, compran bienes y servicios, participan en el mercado y trabajan ofreciendo oportunidades para la innovación, el crecimiento y el empleo. Ante la vertiginosa transformación digital y la aparición de las tecnologías disruptivas como big data, inteligencia artificial, computación en la nube e Internet de las cosas (que, generalmente, se conoce por su nombre inglés “Internet of Things” –en adelante, IoT-), es preciso responder a los desafíos del cambio, por ello que sea indispensable configurar un nuevo marco regulatorio para el derecho fundamental a la protección de datos de carácter personal en estos nuevos escenarios. Sin género de duda, el impulso normativo más relevante dado en esta materia tanto a nivel europeo como internacional se produce de la mano del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD), el cual entró en vigor el 24 de mayo de dicho año, siendo de aplicación directa en todos los Estados de la UE desde el 25 de mayo de 2018 9 , 7 DOUE de 4 de abril de 2011. 8 Puede consultarse en https://eur-lex.europa.eu/legalcontent/ES/TXT/PDF/?uri=COM:2015:192:FIN&rid=6 (Visita: 05/09/2022). 9 Para RALLO LOMBARTE, A.: “Del derecho a la protección de datos a la garantía de nuevos derechos digitales”, en El Reglamento General de Protección de Datos. Un enfoque nacional y comparado, GARCÍA MAHAMUT y TOMÁS MALLÉN (eds.), Tirant Lo Blanch, Valencia, 2019, pág. 134, “la sociedad de la información y del conocimiento ha adquirido un desarrollo 23 al margen de que en dicha fecha hubieran ya adaptado o no al mismo sus respectivas legislaciones, pues no requería transposición alguna. A través de dicha norma, de alcance muy distinto al de las Directivas 10 , la UE logra, por fin, una uniformización normativa en una materia vital para los ciudadanos, pero también para la economía digital en el mercado interior, imponiendo un cambio de paradigma que ha de permear, necesariamente, en los diversos ordenamientos nacionales 11 . Como indica VIVAS TESÓN 12 , el RGPD contiene conceptos, principios y mecanismos similares a los establecidos por la Directiva 95/46, pero con una evidente pretensión garantista. Entre sus aspectos novedosos podemos destacar los siguientes: deja de considerar el silencio o la inacción como un consentimiento válido (por tanto, no se admite el tácito o por omisión), exigiendo una clara acción afirmativa (un “sí”) para expresar aquél (art. 7); refuerza derechos existentes e incorpora otros nuevos como el de transparencia de la información (art. 12), el de eliminación o “derecho al olvido” (art. 17) o el de portabilidad de los datos (art. 20); establece el principio fundamental de responsabilidad proactiva, en cuya virtud el responsable del tratamiento debe inimaginable y ha provocado un impacto insospechado en el flujo de información personal. Las categorías tradicionales sobre las que se asentaba el derecho a la protección de datos evidenciaron su debilidad y requerían una adecuación a los tiempos actuales que se materializó en el Reglamento 2016/679 General de Protección de Datos (RGPD) que vino a actualizar su aplicación al nuevo entorno tecnológico y al crear nuevos derechos digitales”. 10 Como afirma el RGPD en su Considerando 9, “aunque los objetivos y principios de la Directiva 95/46/CE siguen siendo válidos, ello no ha impedido que la protección de los datos en el territorio de la Unión se aplique de manera fragmentada, ni la inseguridad jurídica ni una percepción generalizada entre la opinión pública de que existen riesgos importantes para la protección de las personas físicas, en particular en relación con las actividades en línea. Las diferencias en el nivel de protección de los derechos y libertades de las personas físicas, en particular del derecho a la protección de los datos de carácter personal, en lo que respecta al tratamiento de dichos datos en los Estados miembros pueden impedir la libre circulación de los datos de carácter personal en la Unión. Estas diferencias pueden constituir, por lo tanto, un obstáculo al ejercicio de las actividades económicas a nivel de la Unión, falsear la competencia e impedir que las autoridades cumplan las funciones que les incumben en virtud del Derecho de la Unión. Esta diferencia en los niveles de protección se debe a la existencia de divergencias en la ejecución y aplicación de la Directiva 95/46/CE”. 11 Vid. GARCÍA MAHAMUT, R.: “El derecho fundamental a la protección de datos: El Reglamento (UE) 2016/679 como elemento definidor del contenido esencial del artículo 18.4 de la Constitución”, en Corts: Anuario de Derecho parlamentario, nº extra 31, 2018, págs. 76-77 y DOPAZO FRAGUÍO, P.: “La protección de datos en el Derecho europeo: principales aportaciones doctrinales y marco regulatorio vigente (Novedades del Reglamento General de Protección de Datos)”, en Revista española de Derecho europeo, nº 68, 2018, págs. 113-148. 12 VIVAS TESÓN, I.: “El nuevo régimen de protección de datos del Registro de la Propiedad”, en Derecho Privado y Constitución, nº 33, 2018, págs. 123-124. 24 aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento (art. 24); introduce la evaluación de impacto relativa a la protección de datos como nuevo instrumento para ayudar a evaluar el riesgo antes de que se inicie el tratamiento (art. 35); crea la figura del delegado de protección de datos (arts. 37 a 39) y establece, con evidentes fines disuasorios, un severo régimen sancionador con multas administrativas a responsables y encargados del tratamiento (arts. 83 y 84). Por cuanto aquí nos interesa, según el art. 9.1 del RGPD, “quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física”. Como comprobará el lector, la prohibición contenida en la norma comunitaria incluye, explícitamente, el tratamiento de los datos personales relativos a la salud, que el RGPD define en su art. 4, apartado 15) 13 como “datos personales relativos a la salud física o mental de una persona física 14 , incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”, los cuales conforman una categoría especial de datos de carácter personal que requiere garantías reforzadas en su tratamiento. En su Considerando 35, el RGDP señala, de manera pormenorizada, que “entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado 13 El mismo precepto, en su apartado 13), define los datos genéticos como “datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona” y en su apartado 14) proporciona el concepto de datos biométricos, que son los “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. 14 Los datos personales hacen referencia únicamente a personas físicas, por tanto, no a las jurídicas. 25 de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro”. Más adelante, en su Considerando 53, la norma comunitaria se preocupa, en particular, por el tratamiento de los datos personales relativos a la salud al establecer que “las categorías especiales de datos personales que merecen mayor protección únicamente deben tratarse con fines relacionados con la salud cuando sea necesario para lograr dichos fines en beneficio de las personas físicas y de la sociedad en su conjunto, en particular en el contexto de la gestión de los servicios y sistemas sanitarios o de protección social, incluido el tratamiento de esos datos por las autoridades gestoras de la sanidad y las autoridades sanitarias nacionales centrales con fines de control de calidad, gestión de la información y supervisión general nacional y local del sistema sanitario o de protección social, y garantía de la continuidad de la asistencia sanitaria o la protección social y la asistencia sanitaria transfronteriza o fines de seguridad, supervisión y alerta sanitaria, o con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, basados en el Derecho de la Unión o del Estado miembro que ha de cumplir un objetivo de interés público, así como para estudios realizados en interés público en el ámbito de la salud pública. Por tanto, el presente Reglamento debe establecer condiciones armonizadas para el tratamiento de categorías especiales de datos personales relativos a la salud, en relación con necesidades específicas, en particular si el tratamiento de esos datos lo realizan, con fines relacionados con 32 En el marco de una política sanitaria digital, el EEDS constituye un pilar clave de la sólida Unión Europea de la Salud al poner los datos sanitarios al servicio de la ciudadanía y de la Ciencia garantizando el respeto a los valores fundamentales de la UE. De este modo y tras lo experimentado durante la pandemia 24 mundial causada por el coronavirus SARS-CoV-2 (Severe Acute Respiratory Syndrome Coronavirus 2) 25 , se ponen los cimientos jurídicos de un sistema sanitario integrado con el fin de combatir unidos futuras emergencias de salud pública, siendo una de las prioridades la protección de los datos personales de salud de los ciudadanos europeos. III. EL RÉGIMEN JURÍDICO DE LOS DATOS PERSONALES DE SALUD EN EL DERECHO ESPAÑOL 3.1. EL MARCO CONSTITUCIONAL En los últimos tiempos y, muy especialmente, como consecuencia de los imparables avances tecnológicos, en el tratamiento de los datos personales relativos a la salud se produce una colisión de derechos que obliga a efectuar el correspondiente juicio de ponderación constitucional en el caso concreto y, a resultas del mismo, determinar la prevalencia de uno sobre los demás. Como afirma el Tribunal Constitucional 26 , “sólo ante los límites que la propia Constitución expresamente imponga al definir cada derecho o ante los que de manera mediata o indirecta de la misma se infieran al resultar justificados por la necesidad de preservar otros derechos constitucionalmente protegidos, pueden ceder los derechos fundamentales -SSTC 11/1981, fundamento jurídico 7; 2/1982, fundamento jurídico 5; 110/1984, fundamento jurídico 5-; y de otra que, en todo caso, las limitaciones que se establezcan no pueden obstruir el 24 Como tal la calificó oficialmente la Organización Mundial de la Salud (en adelante, OMS) en la rueda de prensa sobre el Covid-19 celebrada el 11 de marzo de 2020. 25 Se trata del coronavirus causante del síndrome respiratorio agudo severo tipo 2. 26 Así lo recoge, entre otras muchas, la STC de 19 de julio de 1990 (RTC 1990, 137). 33 derecho ‘más allá de lo razonable’ -STC 53/1986, fundamento jurídico 3-, de modo que todo acto o resolución que limite derechos fundamentales ha de estar normativamente fundado y suficientemente motivado, ha de asegurar que las medidas limitadoras sean ‘necesarias para conseguir el fin perseguido’ -SSTC 62/1982, fundamento jurídico 5; 13/1985, fundamento jurídico 2- y ha de atender a la ‘proporcionalidad entre el sacrificio del derecho y la situación en que se halla aquél a quien se le impone’ -STC 37/1989, fundamento jurídico 7- y en todo caso, respetar su contenido esencial -SSTC 11/1981, fundamento jurídico 10; 196/1987, fundamentos jurídicos 4, 5, 6; 197/1987, fundamento jurídico 11-“. Ello ha de ser tenido en cuenta porque en el acceso o uso indebido a nuestros datos personales pueden resultar lesionados varios derechos fundamentales al mismo tiempo y, por tanto, al confluir, es preciso ponerlos en una balanza. Además, en ocasiones, el bien jurídico a proteger es de titularidad individual, pero también puede ser colectiva, tal y como hemos podido comprobar durante la crisis del Covid-19, en la cual surgió la imperiosa necesidad de procesar los datos de salud de los ciudadanos, planteando ello interesantes interrogantes a los que ha debido darse respuesta jurídica mediante la técnica de la ponderación. Así las cosas, debemos partir de las siguientes premisas: el derecho a la protección de los datos personales no es absoluto o ilimitado, ni siquiera cuando se trata de los relativos a la salud, los más sensibles; en ocasiones el acceso o uso indebido a los datos personales puede lesionar varios derechos fundamentales; el bien jurídico a proteger puede ser de titularidad individual o colectiva; y, por último, el aplicador del Derecho ha de afrontar un escenario casuístico y, no, con poca frecuencia, de cierta complejidad a la hora de efectuar un juicio de ponderación en caso de colisión de derechos. 34 3.1.1. EL DERECHO FUNDAMENTAL A LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL El derecho a la protección de datos de carácter personal no es reconocido, de manera expresa, en el Título I, “De los derechos y deberes fundamentales” de la Constitución española (en adelante, CE). Cierto es que el art. 18.4 de la CE establece que “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos” 27 , pero, como puede comprobarse, no hace alusión alguna a la protección de datos personales 28 , dándose a entender, en cierto modo, que se trataba de un derecho instrumental para la tutela de otros 29 . Su explícito reconocimiento como derecho fundamental procede de nuestro Tribunal Constitucional, en concreto, de sus Sentencias 94/1998, de 4 de mayo 30 y 292/2000, de 30 de noviembre 31 , que lo ubican en el citado art. 18.4 de la CE, considerándolo un “derecho autónomo e independiente” respecto del derecho a la intimidad 32 , el cual fue inicialmente regulado por la Ley Orgánica 27 Vid. PÉREZ LUÑO, A. E.: “La protección de la intimidad frente a la informática en la Constitución española de 1978”, en Revista de estudios políticos, nº 9, 1979, págs. 59-72. 28 Una redacción más clara que la nuestra presenta el art. 35 de la Constitución portuguesa de 1976, que dedica un artículo propio a la protección de datos: “l. Todos los ciudadanos tienen derecho a conocer lo que constare acerca de los mismos en registros mecanográficos, así como el fin a que se destinan las informaciones, pudiendo exigir la rectificación de los datos y su actualización. 2. La informática no podrá ser usada para el tratamiento de datos referentes a convicciones políticas, fe religiosa o vida privada, excepto cuando se tratare del proceso de datos no identificables para fines estadísticos.3. Queda prohibida la atribución de un número nacional único a los ciudadanos”. 29 Era así como lo interpretaba, en un primer momento, el Tribunal Constitucional, por ejemplo, en su Sentencia de 20 de julio de 1993 (RTC 1993, 254). 30 RTC 1998, 94. 31 RTC 2000, 292. 32 Si en el FJ 6º de la Sentencia 94/1998 el Tribunal Constitucional afirma que el art. 18.4 CE consagra un derecho fundamental de naturaleza autónoma a controlar el flujo de informaciones que conciernen a cada persona a la privacidad, pertenezcan o no al ámbito más estricto de la intimidad, para así preservar el pleno ejercicio de sus derechos, en el FJ 7º de la STC 292/2000, de 30 de noviembre reconoce que se trata de un derecho autónomo respecto del derecho a la intimidad consistente en “un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los 35 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de Datos de Carácter Personal (en adelante, LORTAD), que fue derogada por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), que, a su vez, desde el 7 de diciembre de 2018, dejó de tener vigencia. El derecho fundamental a la protección de datos o a la autodeterminación informativa, tal y como está configurado en la actualidad, reconoce al ciudadano la facultad de controlar sus datos personales y la capacidad para disponer y decidir sobre los mismos. Sin embargo, ésta no parece ser la idea que tuvieron en mente nuestros constituyentes en el arranque de nuestra etapa democrática. Hubo de transcurrir un tiempo para que los cambios en la sociedad en general y en las personas en particular lo reconocieran como un derecho fundamental. No obstante, no debe entenderse que la protección de datos fuera olvidada en la redacción de nuestra Carta Magna, sino que los avances tecnológicos que se estaban experimentando en cuanto al tratamiento de la información en aquella época en España no habían alcanzado aún el nivel de desarrollo de otros países 33 . Hoy día, su naturaleza de derecho fundamental autónomo e independiente respecto de otros al ostentar sustantividad propia, tiene perfecta datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos”. Por ello, en la posterior STC 39/2016, de 3 marzo (RTC 2016, 39) se hace hincapié en que “el consentimiento del afectado es, por tanto, el elemento definidor del sistema de protección de datos de carácter personal. La LOPD establece el principio general de que el tratamiento de los datos personales solamente será posible con el consentimiento de sus titulares, salvo que exista habilitación legal para que los datos puedan ser tratados sin dicho consentimiento” (FJ 3º). 33 Como indica PARDO FALCÓN, J.: “Artículo 18”, Comentarios a la Constitución Española, XL Aniversario, Tomo I, PÉREZ y BORRAJO (coords.), Fundación Wolters Kluwer, Boletín Oficial del Estado, Tribunal Constitucional y Ministerio de Justicia, Madrid, 2018, cit. pág. 562, “en la fecha en que fue aprobada nuestra Carta Magna las Cortes Generales no eran ajenas al extraordinario desarrollo que estaban experimentado las aplicaciones informáticas en los países desarrollados, aunque en la sociedad española de aquella época el mundo de la alta tecnología resultara todavía coto casi exclusivo de los relatos y películas de ciencia ficción. Ello explica que, a diferencia del resto de las garantías constitucionales contenidas en el citado artículo, la protección de datos personales fuera la única que no se configuró directamente como un derecho fundamental”. 36 cabida en la previsión contenida en el art. 18.4 de la CE y, por tanto, puede ser directamente invocado. En particular, se diferencia del derecho a la intimidad personal y familiar, contenido en el mismo precepto constitucional, en que mientras que éste reviste un carácter primordialmente defensivo frente a las intromisiones ilegítimas de terceros, el derecho a la protección de datos personales implica un poder de disposición y control de los mismos por su titular, los cuales pueden ser íntimos o no, de manera que su objeto es más amplio que el del derecho a la intimidad. Así lo expresa, literalmente, la ya citada STC 292/2000, de 30 de noviembre 34 , en su FJ 6º: “la función del derecho fundamental a la intimidad del art. 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad (por todas, STC 144/1999, de 22 de julio, F. 8). En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado. En fin, el derecho a la intimidad permite excluir ciertos datos de una persona del conocimiento ajeno, por esta razón, y así lo ha dicho este Tribunal (SSTC 134/1999, de 15 de julio, F. 5; 144/1999, F. 8; 98/2000, de 10 de abril, F. 5; 115/2000, de 10 de mayo, F. 4), es decir, el poder de resguardar su vida privada de una publicidad no querida. El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Esta garantía impone a los poderes públicos la prohibición de que se conviertan en fuentes de esa información sin las debidas garantías; y también el deber de prevenir los riesgos que puedan derivarse del acceso o divulgación indebidos de dicha información. Pero ese poder de disposición sobre los propios datos personales nada vale si el afectado desconoce qué datos son los que se poseen por terceros, quiénes los poseen, y con qué fin. De ahí la singularidad del derecho a la protección de datos, pues, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de la personalidad que pertenecen al 34 En la misma línea se pronuncia la STC de 22 de mayo de 2019 (RTC 2019, 76). Al respecto, vid. SERRANO PÉREZ, Mª. M.: “El derecho fundamental a la protección de datos. Su contenido esencial”, en Nuevas Políticas Públicas: Anuario multidisciplinar para la modernización de las Administraciones Públicas, nº 1, 2005, págs. 245-265. 37 ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de octubre, F. 4), como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes para o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos constitucionales y sean o no relativos al honor, la ideología, la intimidad personal y familiar a cualquier otro bien constitucionalmente amparado. De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo. Pero también el derecho fundamental a la protección de datos posee una segunda peculiaridad que lo distingue de otros, como el derecho a la intimidad personal y familiar del art. 18.1 CE. Dicha peculiaridad radica en su contenido, ya que a diferencia de este último, que confiere a la persona el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera íntima de la persona y la prohibición de hacer uso de lo así conocido (SSTC 73/1982, de 2 de diciembre, F. 5; 110/1984, de 26 de noviembre, F. 3; 89/1987, de 3 de junio, F. 3; 231/1988, de 2 de diciembre, F. 3; 197/1991, de 17 de octubre, F. 3, y en general las SSTC 134/1999, de 15 de julio, 144/1999, de 22 de julio, y 115/2000, de 10 de mayo), el derecho a la protección de datos atribuye a su titular un haz de facultades consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos, que no se contienen en el derecho fundamental a la intimidad, y que sirven a la capital función que desempeña este derecho fundamental: garantizar a la persona un poder de control sobre sus datos personales, lo que sólo es posible y efectivo imponiendo a terceros los mencionados deberes de hacer. A saber: el derecho a que se requiera el previo consentimiento para la recogida y uso de los datos personales, el derecho a saber y ser informado sobre el destino y uso de esos datos y el derecho a acceder, rectificar y cancelar dichos datos. En 38 definitiva, el poder de disposición sobre los datos personales (STC 254/1993, F. 7)”. No hay duda de que la dinámica tecnológica y globalizadora, está transformando la forma en que se ejercen, protegen y vulneran derechos y libertades fundamentales como la libertad de expresión, la intimidad personal y la protección de datos personales, dando lugar, a su vez, al reconocimiento de nuevos derechos, como, entre otros, el derecho a la portabilidad de los datos, el conocido como derecho al olvido o el derecho a la desconexión digital. Y es que “si en un principio el habeas data 35 se configura como una garantía frente a los poderes públicos en cuanto que recopiladores constantes de datos de los ciudadanos, la realidad actual demuestra que no son solo éstos, sino también grandes corporaciones privadas dedicadas a las redes sociales y buscadores de Internet (Facebook, Twitter, WhatsApp o Google, entre muchas otras), las que, mediante la prestación de diversos servicios aparentemente gratuitos, manejan información sobre ciudadanos de cualquier parte del mundo sin ningún tipo de control; con lo que ello supone para la libertad y la intimidad de aquéllos, sobre todo, en lo relativo a su cancelación, esto es, el denominado ‘derecho al olvido’” 36 . Innegable es también que, en la época de la digitalización, la información personal ha adquirido un valor extraordinario, por ello que su protección, en todos los ámbitos de la vida de la persona (laboral, educativo, social, etc.), haya requerido una nueva regulación más adecuada a los tiempos y a las demandas actuales. En la sociedad del siglo XXI, los ciudadanos necesitan que sus derechos sean real y efectivamente garantizados 37 . 35 En latín significa “tener datos presentes” y con ello se hace referencia al derecho que tiene cualquier persona física o jurídica a solicitar y obtener la información que exista sobre ella, pudiendo pedir su corrección o eliminación si ésta no fuera cierta o la considerase desactualizada. 36 PARDO FALCÓN, J.: “Artículo 18”, Comentarios a la Constitución Española, XL Aniversario, cit., pág. 563. 37 Como señala RALLO LOMBARTE, A.: “Del derecho a la protección de datos a la garantía de nuevos derechos digitales”, cit., pág. 132, “si el derecho a la protección de datos personales sirvió durante las últimas décadas para preservar los derechos individuales frente a buena parte de los efectos generados por las tecnologías de la información y el conocimiento, la sociedad digital en la que nos hallamos completamente inmersos demanda un haz de derechos que se extienda a la práctica totalidad de los ámbitos en que el individuo se desarrolla en sociedad. Los nuevos derechos digitales son, en buena medida, el corolario de una evolución en la que el derecho a la protección de datos ha servido como auténtica punta de lanza frente a la realidad digital”. 39 Así las cosas, tanto el legislador comunitario como el español se están adaptando a esta nueva era 4.0 con el desarrollo de los derechos digitales o ciberderechos y la ciudadanía digital, así como con mecanismos protectores de los derechos fundamentales. Ello explica, como ya tuvimos oportunidad de ver, la aprobación en el seno de la UE del RGPD y, en el Derecho español, conforme a los principios y mandatos europeos, de la de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales (LOPDGDD), la cual deroga la LOPD de 1999. Pues bien, conforme a lo señalado con anterioridad, la mera lectura del primer párrafo del Preámbulo de la LOPDGDD permite detectar, de inmediato, un error (y la confusión que éste provoca) cuando afirma que “la protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental protegido por el artículo 18.4 de la Constitución española. De esta manera, nuestra Constitución fue pionera en el reconocimiento del derecho fundamental a la protección de datos personales cuando dispuso que… Se hacía así eco de los trabajos desarrollados desde finales de la década de 1960 en el Consejo de Europa y de las pocas disposiciones legales adoptadas en países de nuestro entorno”. Como fácilmente puede advertirse, el error radica en que el derecho a la protección de datos personales no fue una previsión explícita de nuestra CE y, por consiguiente, ésta no pudo ser “pionera”, pues, como hemos señalado, fue el Tribunal Constitucional el que, muchos años después de la promulgación de la Carta Magna, lo constitucionalizó como derecho fundamental independiente respecto del derecho a la intimidad 38 . Dicho esto, la LOPDGDD, con mayor o menor acierto, ha incorporado las novedades contenidas en el RGDP, dando, así, un obligado e importante paso hacia adelante en referencia a la proactividad y a la responsabilidad en materia de protección de datos personales, ya que el objetivo no es otro que el de tutelar y garantizar unos derechos que, especialmente con la entrada en el mundo digital, pueden ser vulnerados con suma facilidad. 38 Así lo hace ver VIVAS TESÓN, I.: “El nuevo régimen de protección de datos del Registro de la Propiedad”, cit., pág. 121. 40 Sin embargo, en cuanto a las previsiones contenidas en el RGPD en relación a los datos de salud que ya tuvimos ocasión de ver y, en particular, a la posibilidad que en su art. 9.4º concede a los Estados miembros en cuanto a “mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”, nada contempla la LOPDGDD, la cual tan sólo los menciona en su art. 9, dedicado a las categorías especiales de datos, en su Disposición Adicional 17ª para establecer en su apartado 1º la primacía de las leyes sanitarias sobre el marco regulador de la protección de datos personales y en su apartado 2º el tratamiento de estos datos con fines de investigación en salud, así como en su Disposición final 9ª al modificar el apartado 3º del art. 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (en adelante, LAP), norma ésta crucial en el andamiaje regulador de la materia que nos ocupa. A nuestro juicio, se ha perdido una gran oportunidad para regular, como es debido, los datos de salud. La LOPDGDD hubiera sido el marco legislativo idóneo para introducir una reglamentación ad hoc, muy necesaria para resolver los numerosos conflictos que, hoy por hoy, genera la protección de los datos de salud. Dicho esto, es preciso señalar que los datos de salud se hallan comprendidos bajo la tutela tanto del derecho a la intimidad como del derecho a la protección de datos de carácter personal. 41 3.1.2. EL DERECHO A LA PROTECCIÓN DE LA SALUD 3.1.2.1. UN DERECHO HUMANO Y TRANSVERSAL Según el Preámbulo de la Constitución de la OMS de 1946 39 , “la salud es un estado de completo bienestar físico, mental y social, y no solamente la ausencia de afecciones o enfermedades. El goce del grado máximo de salud que se pueda lograr es uno de los derechos fundamentales de todo el ser humano sin distinción de raza, religión, ideología política o condición económica o social”. Conforme a ello, afirma que “la salud de todos los pueblos es una condición fundamental para lograr la paz y la seguridad, y depende de la más amplia cooperación de las personas y de los Estados. Los resultados alcanzados por cada Estado en el fomento y protección de la salud son valiosos para todos”. La cobertura de salud universal como derecho humano y el derecho al grado máximo de salud que se pueda lograr, son dos ideas que, con posterioridad, se incorporaron a diversas normas internacionales, como el art. 25.1 40 de la Declaración Universal de Derechos Humanos de 10 de diciembre de 1948 (en adelante, DUDH), el art. 5.e), inciso iv 41 de la Convención Internacional sobre la eliminación de todas las formas de discriminación racial de 1965, el art. 12 42 del Pacto Internacional de Derechos Económicos, Sociales y Culturales de 1966, los arts. 11.1, f) y 12 43 de la Convención sobre la eliminación de todas las 39 La Constitución fue adoptada por la Conferencia Sanitaria Internacional, celebrada en Nueva York del 19 de junio al 22 de julio de 1946, firmada el 22 de julio de 1946, entró en vigor el 7 de abril de 1948, siendo reformada, con posterioridad, en varias ocasiones. 40 Art. 25.1: "Toda persona tiene derecho a un nivel de vida adecuado que le asegure, así como a su familia, la salud y en especial la alimentación, el vestido, la vivienda, la asistencia médica y los servicios sociales necesarios". 41 Art. 5.e), inciso iv): “En conformidad con las obligaciones fundamentales estipuladas en el artículo 2 de la presente Convención, los Estados partes se comprometen a prohibir y eliminar la discriminación racial en todas sus formas y a garantizar el derecho de toda persona a la igualdad ante la ley, sin distinción de raza, color y origen nacional o étnico, particularmente en el goce de los derechos siguientes: e) Los derechos económicos, sociales y culturales, en particular: iv) El derecho a la salud pública, la asistencia médica, la seguridad social y los servicios sociales”. 42 Art. 12.1: “Los Estados Partes en el presente Pacto reconocen el derecho de toda persona al disfrute del más alto nivel posible de salud física y mental”. 43 Art. 11.1º f): “Los Estados Partes adoptarán todas las medidas apropiadas para eliminar la discriminación contra la mujer en la esfera del empleo a fin de asegurar, en condiciones de igualdad entre hombres y mujeres, los mismos derechos, en particular: f. El derecho a la protección de la salud y a la seguridad en las condiciones de trabajo, incluso la salvaguardia de la función de reproducción”. 48 3.1.2.2. UN PRINCIPIO RECTOR DE LA POLÍTICA SOCIAL Y ECONÓMICA QUE DEBIERA SER UN DERECHO FUNDAMENTAL El art. 43 de la CE 65 se inserta en el Capítulo tercero, “De los principios rectores de la política social y económica” del Título I, “De los derechos y deberes fundamentales”, con el siguiente tenor literal: “1. Se reconoce el derecho a la protección de la salud. 2. Compete a los poderes públicos organizar y tutelar la salud pública a través de medidas preventivas y de las prestaciones y servicios necesarios. La ley establecerá los derechos y deberes de todos al respecto. 3. Los poderes públicos fomentarán la educación sanitaria, la educación física y el deporte 66 . Asimismo, facilitarán la adecuada utilización del ocio” 67 . 65 Su precedente se remonta al art. 46.2 de la Constitución de 1931, según el cual "la legislación social (de la República) regulará los casos de seguro de enfermedad". 66 Según la STC 194/1998, de 1 de octubre (RTC 1998, 194), “hay que recordar que la propia Constitución contiene un mandato a los poderes públicos para que fomenten la educación física y el deporte (art. 43.3 CE) y que ambas actividades aparecen, por otra parte, estrechamente vinculadas con la salud - a la que se refiere el apartado 1 del mismo art. 43 CE-. De suerte que no sólo son un medio para su mantenimiento, sino que permite evitar las repercusiones negativas que sobre la misma puede tener un ejercicio no adecuado de las diversas actividades físicas y deportivas, especialmente en aquellos deportes cuyo ejercicio conlleva un riesgo muchas veces no pequeño". Para la STS de 23 de marzo de 1988 (RJ 1988, 1702), “la Constitución Española de 1978, en su artículo 43.3, no consagra ciertamente un «derecho al deporte», sino que únicamente establece su «fomento público», pero la inclusión del fenómeno del deporte en el Texto Constitucional no entraña únicamente un significado simbólico pues origina unas consecuencias jurídicas; el poder constituyente, al comprender la importancia del «hecho deportivo» en la sociedad moderna y recogerlo así en la Norma Suprema, ha manifestado su criterio de que el deporte, como las demás instituciones del país, debe empaparse de los principios sustanciales de la Constitución, lo cual ha tenido una importante repercusión dentro del ordenamiento jurídico-deportivo; se trata de amparar una actividad de indudable utilidad pública, y que forma parte del conjunto de elementos que tienden no sólo ya a proporcionar medios materiales a los ciudadanos, sino a mejorar la calidad de su vida cotidiana; la circunstancia de que la disposición que establece el deber de fomento del deporte es un apartado del precepto donde se reconoce el derecho de todo ciudadano a la protección de su salud y, en buena medida el apartado que alude al «fenómeno deportivo» está imbuido del espíritu de todo el artículo 43, la protección a la salud, lo cual sólo se puede lograr mediante el deporte activo y cuanto más extendido mejor, es decir, mediante el deporte popular” (FJ 7º). 67 Vid., entre otros trabajos doctrinales, DEL REY GUANTER, S.: “El derecho a la protección de la salud: notas sobre su entramado constitucional”, en Derechos y libertades, nº 6, 1998, págs. 161-168; DE LA CUEVA ALEU, I.: “El derecho constitucional a la protección de la salud: jurisprudencia constitucional”, en Cuadernos de Derecho judicial, nº 5, 2005, págs. 13-80; CANTERO MARTÍNEZ, J.: “La configuración legal y jurisprudencial del derecho constitucional a la protección de la salud”, en Revista vasca de Administración pública, nº 80, 2008, págs. 15-53; LEÓN ALONSO, M.: La protección constitucional de la salud, La Ley, Madrid, España, 2010 y ESCOBAR ROCA, G.: “El derecho a la protección de la salud”, en Derechos sociales y tutela antidiscriminatoria, ESCOBAR ROCA (dir.), Thomson-Aranzadi, Cizur Menor, 2012, págs. 1073- 1178. 49 En primer lugar, debemos destacar que la terminología utilizada por el legislador constituyente, el “derecho a la protección de la salud”, nos parece apropiada, puesto que el “derecho a la salud” podría conducir a pensar en un “derecho a estar sano”, lo cual, como es obvio, es imposible de asegurar a todos los ciudadanos, dado que en la salud influyen factores que escapan al control humano como la herencia genética o el medioambiente 68 . Se trata, en cambio, del derecho del ciudadano a que se proteja su salud, entendiendo por tal, en sintonía con los textos internacionales, el disfrute del más alto nivel de bienestar físico, mental y social. Ello, por tanto, conlleva la obligación de los poderes públicos de desarrollar acciones positivas que tiendan a proteger la salud o bien a repararla cuando resulte afectada. En nuestra opinión, la exigencia a los poderes públicos no se circunscribe a proteger la salud, sino también a mejorarla todo lo posible. Dicho de otro modo, no se trata sólo de conservar la integridad física y psíquica del individuo, sino que comprende todas aquellas intervenciones dirigidas a garantizar un estado de bienestar completo de la persona. En segundo lugar, partiendo de la ubicación sistemática del derecho a la protección de la salud en nuestra Constitución, es evidente que en 1978 no quiso elevarse a la categoría de fundamental 69 con la tutela que en su art. 53.1º y 2º 68 Así lo indica PEMÁN GAVÍN, J. M.: “Derecho a la protección de la salud”, en ROMEO CASABONA (dir.), Enciclopedia de Bioderecho y Bioética, Tomo I, Comares, Granada, 2011, págs. 577-578: “no puede entenderse como un derecho a estar sano, dado que los Estados no pueden otorgar protección frente a todas las causas posibles de mala salud del ser humano no sólo por la limitación de los recursos de que disponen sino también por el hecho de que sobre la salud humana inciden muy numerosos factores entre los que se encuentran las condiciones genéticas y la propensión individual a determinadas enfermedades, o [la] adopción de etilos de vida insanos o arriesgados por parte de cada persona”. 69 Sí lo reconoce como tal la Constitución italiana de 1947, cuyo art. 32 dispone que “la Republica tutela la salud como derecho fundamental de individuo y garantiza el tratamiento médico gratuito a los indigentes. No puede obligarse a nadie a un determinado tratamiento sanitario sino por disposición de la ley, la cual en ningún caso podrá violar los límites impuestos por el respeto de la persona humana”. Repárese en que la salud es el único derecho del texto constitucional que es calificado con el adjetivo de “fundamental”, utilizándose en más ocasiones en la Constitución el término “inviolable”. Para un mayor estudio, vid., entre otros, MORANA, D.: La salute nella Costituzione italiana. Profili sistematici, Giuffrè, Milano, 2002 y PICIOCHHI, C.: “Il diritto alla salute nella Costituzione italiana: l’adempimento di una promessa difficile”, en Estudios constitucionales, vol. 20, 2022, págs. 396-419. Por su parte, la Constitución francesa de 27 de octubre de 1946, en su apartado 11º, indicaba que se “garantiza a todos, y especialmente al niño, a la madre y a los antiguos trabajadores, la protección de la salud, la seguridad material, el descanso y el ocio. Todo ser humano que, debido a su edad, su estado físico o mental o su situación económica, se encuentre incapacitado para trabajar, tiene derecho a obtener de la colectividad los medios de existencia necesarios.” Sin embargo, en la actual Constitución de 1958 solo se alude a la salud en su art. 1: “cada uno tiene el derecho a vivir en un medio ambiente equilibrado y respetuoso de la salud”. 50 brinda a los incluidos en el Capítulo segundo de su Título I (a los que se suman los arts. 14 y 30), sino configurarse como un principio rector de la política social y económica, probablemente, por temor a no ser capaz de garantizarlo efectivamente. En consecuencia, no es un derecho fundamental, sino una máxima que debe orientar o inspirar a los poderes públicos en sus actuaciones, pues, como señala el art. 53.3 de la CE, los principios reconocidos en el Capítulo tercero “informarán la legislación positiva, la práctica judicial y la actuación de los poderes públicos”, añadiendo luego que “sólo podrán ser alegados ante la jurisdicción ordinaria de acuerdo con lo que dispongan las leyes que los desarrollen" 70 . En suma, el art. 43 de la CE, dada su ubicación en el texto constitucional 71 , no es una norma que goce de eficacia inmediata, de modo que sólo tiene naturaleza programática, orientando y delimitando la actuación de los poderes públicos y carece de garantía constitucional directa. A la vista de la devaluación jurídica de los derechos sociales propia de las Constituciones liberales, así como de la relevancia del derecho a la protección de la salud, MARTÍNEZ DE PISÓN CAVERO 72 lo califica de “derecho social esencial”. La Constitución de la República Federal de Alemania de 1949 no recoge entre sus derechos fundamentales ninguno de carácter social, por ello que no haga una referencia expresa a la salud, en tanto, que, en el constitucionalismo más reciente, la portuguesa de 1976 dedica su art. 64 al derecho a la protección de la salud, el cual también reconocen el art. 34.1 de la Constitución de Rumanía de 1991 y el art. 28.1 de la de Estonia de 1992. En América Latina, tanto el art. 4, pfo. 4º de la Constitución política de los Estados Unidos Mexicanos de 1917 como el art. 19.9º de la Constitución política de la República de Chile de 1980 y el art. 7 de la Constitución de la República del Perú de 1993 reconocen el derecho a la protección de la salud. 70 El TC, en su Sentencia 36/1991 de 14 de febrero (RTC 1991, 36), considera que “en general (art. 53.3 CE) los principios reconocidos en el Capítulo Tercero del Título I, aunque deben orientar la acción de los poderes públicos, no generan por sí mismos derechos judicialmente actuables”. 71 Como indica REY MARTÍNEZ, F.: “Protección de la salud, atención primaria y derechos fundamentales”, en Revista Teoría y Realidad Constitucional, nº 41, 2018, pág. 282, “en primer lugar, quizá lo más importante de él no es tanto lo que dice, sino dónde lo dice, es decir, en qué parte de la Constitución. Porque los derechos de nuestra Constitución están más o menos protegidos en función del lugar donde se ubican en el texto constitucional”. 72 MARTÍNEZ DE PISÓN CAVERO, J. Mª: “El derecho a la salud: un derecho social esencial”, en Derechos y libertades, nº 14, 2006, págs. 129-150, quien, en pág. 30 reconoce que dicha expresión “encierra una paradoja de difícil solución. Se afirma, por un lado, que "el derecho a la salud" es un derecho social de los ciudadanos y que, además, es un derecho esencial. Esto quiere decir que estaríamos ante un derecho fundamental de tanta importancia que esta circunstancia nos permite justificar el carácter de esencial del derecho a la salud. Y, sin embargo, esto no es así. Al menos, desde un punto de vista jurídico. Primero, porque ni nuestro ordenamiento jurídico ni la Constitución española utiliza el término esencial para referirse a los derechos fundamentales. Y, en segundo lugar, porque el derecho a la salud no aparece tampoco en el catálogo de derechos fundamentales”. 51 Así lo pone de manifiesto el Tribunal Constitucional, en su Sentencia 139/2016, de 21 julio 73 , en relación a la inconstitucionalidad de un Decreto-ley del Parlamento de Navarra, al pronunciarse acerca del art. 43 de la CE en los siguientes términos: “el precepto constitucional se ubica entre los principios rectores de la política social y económica, los cuales, formalmente, disfrutan de las garantías previstas en el artículo 53.3 CE, por lo que su reconocimiento, respeto y protección ‘informarán la legislación positiva, la práctica judicial y la actuación de los poderes públicos’, estatales y autonómicos. Asimismo, sólo se pueden alegar ante la jurisdicción ordinaria de acuerdo con lo dispuesto en las leyes que los desarrollen. Atendiendo, por tanto, a su ubicación sistemática, el art. 43 CE se configura como un principio rector, razón por la que carece de contenido constitucionalmente esencial que pueda ser afectado por la legislación de urgencia”. En opinión de FERNÁNDEZ MONTALVO 74 , “el artículo 43 CE, en cuanto reconoce el derecho a la protección de la salud, no se limita a establecer un compromiso político, sino que impone un deber concreto de adoptar cierta legislación. Dicho en otros términos, no reconoce directamente un derecho subjetivo, pero impone la necesaria configuración de dicho derecho en el ámbito material de la salud a través del correspondiente desarrollo legislativo”. Conforme a ello, el derecho a la protección de la salud es desarrollado por una ley ordinaria (no orgánica, de manera que basta con un consenso por mayoría simple y no absoluta, pudiendo, además, acudirse a la figura del Decreto-ley), la Ley 14/1986, de 25 de abril, General de Sanidad, norma de referencia en esta materia, la cual ha sido reformada en diversas ocasiones, la última de ellas en diciembre de 2018. Tratándose de un derecho social que queda fuera de los que son susceptibles de recurso de amparo ex art. 53.2 de la CE, las ocasiones en las 73 RTC 2016, 139. 74 FERNÁNDEZ MONTALVO, R.: “Dimensión del derecho a la protección a la salud. Su tratamiento en la jurisprudencia del Tribunal Constitucional”, en Derecho y salud, vol. 19, 2010, pág. 13. 52 que el Tribunal Constitucional se ha pronunciado acerca del mismo son, en consecuencia, escasas, limitándose a hacerlo cuando ha debido comprobar la constitucionalidad de las normas con rango de ley y el reparto competencial entre el Estado y las Comunidades Autónomas (en adelante, CCAA) en materia de sanidad conforme a lo previsto en los arts. 148.1.21ª 75 y 149.1.16ª 76 , preceptos éstos sobre los que más adelante volveremos. No obstante ello, hemos de señalar que no es infrecuente que el amparo se conceda por vulneración del derecho a la vida y a la integridad física y moral (art. 15 de la CE) cuando, en realidad, lo que está en juego es la tutela a la salud prevista en el art. 43 de la CE y, por consiguiente, carente de dicho recurso, razón por la cual encontramos pronunciamientos del Tribunal Constitucional que, vinculando el art. 43 con el art. 15 de la Carta Magna, versan indirectamente sobre el derecho a la protección de la salud 77 . En este sentido, en su Auto 239/2012 de 12 diciembre 78 , el Constitucional afirma que “para que este Tribunal valore los intereses vinculados a la garantía del derecho a la salud, es preciso acudir a lo dispuesto en el art. 43 CE, en relación con el deber de todos los poderes públicos de garantizar a todos los ciudadanos el derecho a la protección de la salud, cuya tutela les corresponde y 75 Art. 148.1.21ª CE: “Las Comunidades Autónomas podrán asumir competencias en las siguientes materias: 21ª. Sanidad e higiene”. 76 149.1.16ª CE: “El Estado tiene competencia exclusiva sobre las siguientes materias: 16ª. Sanidad exterior. Bases y coordinación general de la sanidad. Legislación sobre productos farmacéuticos”. 77 Ejemplo claro del abordaje indirecto del derecho a la protección de la salud lo es la STC 62/2007, de 27 marzo (RTC 2007, 62), en relación a la inactividad del Servicio Andaluz de Salud cuando una funcionaria embarazada adujo riesgos para su salud si permanecía en su puesto de trabajo con las asignaciones encomendadas y que estaban contraindicadas para su estado de embarazo. El Tribunal Constitucional otorgó el amparo a la recurrente. La protección de su derecho a la salud viene conectado en este caso con el derecho a la integridad física en las relaciones laborales. En la misma línea se pronuncia la STC 37/2011, de 28 marzo (RTC 2011, 37), en la reclamación de responsabilidad civil derivada de una asistencia sanitaria en la que un hombre perdió totalmente la funcionalidad de una mano a raíz de la práctica de un cateterismo. La sentencia del TC estimó el recurso de amparo, anulando las sentencias de primera y segunda instancias, por vulnerar su derecho a la integridad física, señalando: “hemos afirmado que el derecho a que no se dañe o perjudique la salud personal queda también comprendido en el derecho a la integridad personal (STC 35/1996, de 11 de marzo, FJ 3º), aunque no todo supuesto de riesgo o daño para la salud implique una vulneración del derecho fundamental, sino tan sólo aquél que genere un peligro grave y cierto para la misma (SSTC 119/2001, de 24 de mayo, FJ 6º y 5/2002, de 14 de enero, FJ 4º)”. 78 RTC 2012, 239. 53 ha de ser articulada ‘a través de medidas preventivas y de las prestaciones y servicios necesarios’ (art. 43.1 y 2 CE) (STC 126/2008 de 27 de octubre 79 , F. 6º). Si, además del mandato constitucional, se tiene en cuenta, como ya lo ha hecho este Tribunal, la vinculación entre el principio rector del art. 43 CE y el art. 15 CE que recoge el derecho fundamental a la vida y a la integridad física y moral, en el sentido de lo reconocido por el Tribunal Europeo de Derechos Humanos (por todos, asunto VO c. Francia de 8 de julio de 2004 80 ), resulta evidente que los intereses generales y públicos, vinculados a la promoción y garantía del derecho a la salud, son intereses asociados a la defensa de bienes constitucionales particularmente sensibles”. De este modo, se trata de un derecho no autónomo sino de carácter relacional. A nuestro entender, su conexidad o estrecha vinculación con otros derechos fundamentales y, en definitiva, con el de una vida digna lo hace, en la práctica, merecedor de una especial protección constitucional. El art. 43.2 de la CE encomienda a los poderes públicos organizar y tutelar la salud pública a través de medidas preventivas y de las prestaciones y servicios necesarios. Ello conecta con lo dispuesto por el art. 41, en el que la Carta Magna establece que los poderes públicos mantendrán un régimen público de Seguridad Social para todos los ciudadanos que garantice la asistencia y prestaciones sociales suficientes ante situaciones de necesidad, especialmente, en caso de desempleo. Repárese en que el derecho a la protección de la salud y la Seguridad social se recogen, separadamente, en preceptos diferentes y que el art. 41 no hace mención alguna a la salud 81 . En relación al reparto de competencias, el art. 148.1.21ª de la CE permite a las CCAA asumirlas en materia de sanidad e higiene (a día de hoy y en el marco de sus respectivos Estatutos de Autonomía, todas lo han hecho), 79 RTC 2008, 126. 80 TEDH 2004, 52. 81 Para MARTÍNEZ DE PISÓN CAVERO, J. Mª: “El derecho a la salud: un derecho social esencial”, cit., pág. 144, “la relación entre ambos derechos es de coimplicación: por un lado, el derecho del artículo 41 es parte del derecho a la protección de la salud, pero, por otro, el mantenimiento de un régimen público de la Seguridad Social es algo más que el derecho a la salud”. 54 reservándose el Estado la sanidad exterior, la regulación de las bases y la coordinación general de la sanidad 82 , así como la legislación sobre productos farmacéuticos ex art. 149.1.16ª 83 . Aunque en el caso de las dos Ciudades Autónomas de Ceuta y Melilla, por motivos obvios, las regulaciones en materia de sanidad e higiene han sido adoptadas con rango de reglamento, en las diecisiete CCAA la asunción de tales competencias se ha desarrollado a través de normas ad hoc en forma de ley, existiendo una enorme disparidad normativa, lo que evidencia la descentralización política e indiscutible autonomía competencial de cada región, más acusada en este ámbito que en otros 84 , tal y como ha hecho patente la pandemia mundial del Covid-19. En este sentido, la STC 98/2004, de 25 de mayo 85 señala en su FJ 7º que “la Constitución no sólo atribuye al Estado una facultad, sino que le exige que preserve la existencia de un sistema normativo sanitario nacional con una regulación uniforme mínima y de vigencia en todo el territorio español, eso sí, sin perjuicio, de las normas que sobre la materia puedan dictar las Comunidades Autónomas en virtud de sus respectivas competencias”. 82 En relación a dicha competencia estatal y el papel del Consejo interterritorial del Sistema Nacional de Salud como órgano de cooperación e intercomunicación de los servicios de salud de las distintas CCAA, vid. BELTRÁN AGUIRRE, J. L.: “Coordinación general sanitaria”, en Derecho y Salud, vol. 15, nº extra 2, 2007, págs. 5-10 y ROMEO RUÍZ, A.: “Coordinación y cooperación en el ámbito sanitario. El Consejo Interterritorial del Sistema Nacional de Salud”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, págs. 175-196, para quien “es fundamental que el ordenamiento jurídico establezca unos instrumentos adecuados de articulación de las relaciones interadministrativas, a través de los principios de las técnicas de coordinación y cooperación. Esto adquiere una importancia fundamental en el caso de las crisis sanitarias que afecten al conjunto del Estado, o a varias Comunidades Autónomas, ya que dichas situaciones pueden requerir que se den respuestas conjuntas y, en ocasiones homogéneas, como ha quedado patente durante la pandemia por el Covid-19” –pág. 175-. 83 Acerca de las competencias en materia de sanidad, vid., entre otras, SSTC 33/2017 de 1 de marzo (RTC 2017, 33) y 64/2017 de 25 de mayo (RTC 2017, 64). 84 Así lo hacen ver BOMBILLAR SÁENZ, F. M./PÉREZ MIRAS, A.: “El derecho a la protección de la salud desde una perspectiva multinivel y de Derecho comparado”, en Revista Europea de Derechos Fundamentales, primer semestre, 2015, pág. 327, para quienes, tras analizar los diecisiete subsistemas de salud que se han ido asentando en España, en este campo como en ningún otro se ha manifestado “el significado de la autonomía como gestión de los respectivos intereses, pues para nada es uniforme el tratamiento normativo que han realizado las Comunidades Autónomas ni el modelo de gestión que se ha implementado en las diferentes Comunidades de España”. 85 RTC 2004, 98. 55 A pesar de que se espera que las distintas regulaciones territoriales tengan un mínimo de contenidos y una cierta uniformidad entre ellas, hemos de concluir que ello no pasa de ser un mero deseo. La figura del paciente, la historia clínica, la dispensa de medicamentos o los derechos y deberes de los usuarios en la sanidad pública, entre otras cuestiones, se abordan normativamente, a nivel autonómico, de forma muy dispar, generando ello desigualdad e inseguridad jurídica. Al no configurarse constitucionalmente como un derecho fundamental, la defensa judicial del derecho a la protección de la salud debe desarrollarse en tribunales ordinarios, por ello, como ya se ha señalado, las cuestiones relativas al mismo apenas son tratadas por nuestro Tribunal Constitucional, salvo cuando se ponen en conexión con el derecho a la vida, a la integridad física o moral y a la libertad religiosa. Ejemplo de ello, además de las ya citadas, son las sentencias dictadas en relación a la negativa por motivos religiosos y de culto a recibir trasfusiones de sangre (STC 154/2002, de 18 de julio) 86 , la coercitiva alimentación y tratamientos médicos realizados a presos en huelga de hambre (STC 37/1990, de 19 de julio) 87 , la parcial despenalización del aborto (STC 53/1985, de 11 de abril) 88 , el uso y tratamiento de embriones y fetos humanos (STC 212/1996, de 19 de diciembre) 89 o en relación a las técnicas de reproducción asistida -en adelante, TRA- (STC 116/1999, de 17 de junio) 90 . De este modo, si bien el derecho a la salud, en sí mismo, no ha desempeñado un papel relevante en la jurisprudencia constitucional” 91 , está adquiriendo cada vez más importancia al quedar imbuido de la protección de derechos que sí son fundamentales, hasta tal punto que el Tribunal Supremo llega a afirmar, en el FJ 1º de su Sentencia de 12 de enero de 2001 92 , que “el consentimiento informado constituye un derecho humano fundamental, 86 RTC 2002, 154. 87 RTC 1990, 137. 88 RTC 1985, 53. 89 RTC 1996, 212. 90 RTC 1999, 116. 91 PEMÁN GAVÍN, J. M.: “Sobre el derecho constitucional a la protección de la salud”, en Derecho y Salud, vol. 16, nº extra 2, 2008, pág. 51. 92 RJ 2001, 3. 56 precisamente una de las últimas aportaciones realizada en la teoría de los derechos humanos, consecuencia necesaria o explicación de los clásicos derechos a la vida, a la integridad física y a la libertad de conciencia. Derecho a la libertad personal, a decidir por sí mismo en lo atinente a la propia persona y a la propia vida y consecuencia de la auto disposición sobre el propio cuerpo” 93 , catalogación de “derecho humano fundamental” que nos parece muy expresiva a la par que impropia, pues genera confusión al no gozar del carácter de fundamental 94 . Como señala LEÓN ALONSO 95 , nuestro sistema jurídico consta de múltiples normas administrativas, laborales y penales que tienden a proteger la salud en relaciones de reciprocidad entre sujetos jurídicos iguales. Por ejemplo, la normativa sobre seguridad y salud laboral, como la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (en adelante, LPRL); la Ley 28/2005, de 26 de diciembre, de medidas sanitarias frente al tabaquismo y reguladora de la venta, el suministro, el consumo y la publicidad de los productos de tabaco; la Ley 44/2006, de 24 de diciembre, de mejora de la protección de los consumidores y usuarios; o los arts. 359 a 378 del Código Penal (en adelante, CP) que tipifican los delitos contra la salud pública. Conforme a ello, la protección a la salud se reclama a través del correspondiente orden jurisdiccional. Expuesto todo lo anterior, creemos que el derecho a la protección de la salud de ninguna manera puede seguir conteniéndose en una norma con mero valor programático y de eficacia ciertamente ambigua. Tras más de cuarenta años de solidez constitucional, debería ser, en nuestros días, uno de los 93 BOMBILLAR SÁENZ, F. M./PÉREZ MIRAS, A.: “El derecho a la protección de la salud desde una perspectiva multinivel y de Derecho comparado”, cit., pág. 324. 94 Critican dicha expresión utilizada por el TS, entre otros autores, RUBIO TORRANO, E.: “Derechos fundamentales y consentimiento informado”, en Revista Doctrinal Aranzadi Civil- Mercantil, nº 19, 2001, p. 7 y PULIDO QUECEDO, M.: “El consentimiento informado en materia de salud: ¿derecho humano fundamental?”, en Repertorio Aranzadi del Tribunal Constitucional, nº. 5, 2001. 95 LEÓN ALONSO, M.: “Discriminación por razones de salud” en Estudios interdisciplinares sobre igualdad, ÁLVAREZ, FIGUERUELO y NUÑO (dirs.), CANCIO ÁLVAREZ (coord.), Iustel, Madrid, 2011, pág. 260. 57 derechos fundamentales de la persona ubicados entre los arts. 14 y 30 de la CE, mereciendo, en consecuencia, una tutela constitucional reforzada 96 . Así las cosas, la protección a la salud debería ser un derecho constitucional con rango fundamental garantizado a todos los ciudadanos, cuya tutela debería reforzarse aún más cuando se trata de sujetos especialmente vulnerables, como los niños y niñas, las personas con discapacidad y los adultos mayores. Todos los ciudadanos, en una sociedad democrática, necesitan salud y educación (que, regulada en el art. 27 de la CE, sí es configurada como un derecho fundamental 97 ) para poder ser libres. 3.1.2.3. UN DERECHO CON UNA DOBLE DIMENSIÓN De una detenida lectura del art. 43 de la CE se infiere que la protección a la salud tiene una doble dimensión individual y colectiva: la primera tiene un contenido esencialmente prestacional y se concreta en el derecho del ciudadano a recibir una adecuada asistencia sanitaria; la segunda se refiere a la salud pública que los poderes públicos han de preservar a través de medidas de obligado cumplimiento para sus destinatarios. Esta doble dimensión de derecho-deber dota a la salud de una naturaleza singular, pues en ella confluye, de un lado, la libertad individual de cada ciudadano y, de otro, los intereses de la colectividad, peculiaridad ésta que lo caracteriza profundamente y que, tal vez, nunca hayamos visto con tanta nitidez que con la pandemia del Covid-19 y, más concretamente, en el proceso de 96 Al respecto, vid. DE MONTALVO JÄÄSKELÄINEN, F.: “Reflexiones acerca de la oportunidad (necesidad) de transformar el derecho a la protección de la salud en un verdadero derecho fundamental con ocasión de la celebración del cuadragésimo aniversario de la Constitución”, en Derecho y Salud, vol. 28, nº 1, 2018, págs. 41-62. 97 Art. 27 de la CE: “todos tienen el derecho a la educación. Se reconoce la libertad de enseñanza. La educación tendrá por objeto el pleno desarrollo de la personalidad humana en el respeto a los principios democráticos de convivencia y a los derechos y libertades fundamentales”. 64 médica gratuita a los indigentes”, lo que confirma que es un derecho de todas las personas, inclusive las que están en situación de grave escasez de recursos económicos o de pobreza. Por último, no podemos dejar de mencionar el art. 3 del Convenio para la protección de los derechos humanos y la dignidad del ser humano con respecto a las aplicaciones de la Biología y la Medicina (Convenio relativo a los derechos humanos y la biomedicina), hecho en Oviedo el 4 de abril de 1997, según el cual “las Partes, teniendo en cuenta las necesidades de la sanidad y los recursos disponibles, adoptarán las medidas adecuadas con el fin de garantizar, dentro de su ámbito jurisdiccional, un acceso equitativo a una atención sanitaria de calidad apropiada”. 3.1.2.5. LA DISCRIMINACIÓN POR RAZÓN DE SALUD La igualdad y no discriminación es un principio fundamental de derechos humanos y decisivo para el disfrute del derecho a la protección de la salud. La Real Academia de la Lengua Española (en adelante, RAE) define la acción de “discriminar” como el acto de seleccionar excluyendo y añade que equivale a “dar un trato desigual a una persona o colectividad por motivos raciales, religiosos, políticos, de sexo, de edad, de condición física o mental, etc.”. En tales situaciones el derecho fundamental a la igualdad, simplemente, quiebra. De este modo, la discriminación es cualquier distinción, exclusión o restricción, hecha por diversas causas, que impide el disfrute de los derechos humanos y las libertades fundamentales. Está relacionada con la marginación de determinados grupos de población y, por lo general, es la causa básica de las desigualdades estructurales fundamentales existentes en la sociedad. Declaraciones y Pactos internacionales abogan por el derecho humano a la igualdad y la no discriminación de las personas y/o grupos sociales. 65 Así, sin ánimo de exhaustividad, el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Públicas en su art. 14, dispone que “el goce de los derechos y libertades reconocidos en el presente Convenio ha de ser asegurado sin distinción alguna, especialmente por razones de sexo, raza, color, lengua, religión, opiniones políticas u otras, origen nacional o social, pertenencia a una minoría nacional, fortuna, nacimiento o cualquier otra situación”. En la misma línea, el art. 2 de la DUDH, expresa que “toda persona tiene los derechos y libertades proclamados en esta Declaración, sin distinción alguna de raza, color, sexo, idioma, religión, opinión política o de cualquier otra índole, origen nacional o social posición económica, nacimiento o cualquier otra condición”. El art. 2.1 de la Convención de los derechos del niño dispone que “los Estados Partes respetarán los derechos enunciados en la presente Convención y asegurarán su aplicación a cada niño sujeto a su jurisdicción, sin distinción alguna, independientemente de la raza, el color, el sexo, el idioma, la religión, la opinión política o de otra índole, el origen nacional, étnico o social, la posición económica, los impedimentos físicos, el nacimiento o cualquier otra condición del niño, de sus padres o de sus representantes legales”. La CDFUE, en el párrafo 1º de su art. 21, prohíbe toda discriminación y, en particular, “la ejercida por razón de sexo, raza, color, orígenes étnicos o sociales, características genéticas, lengua, religión o convicciones, opiniones políticas o de cualquier otro tipo, pertenencia a una minoría nacional, patrimonio, nacimiento, discapacidad, edad u orientación sexual”, destacando en dicha norma la alusión a las características genéticas, discapacidad u orientación sexual, no contempladas en otros Tratados internacionales hasta la fecha. Con posterioridad, la Convención de las Naciones Unidas sobre los derechos de las personas con discapacidad, dedica su art. 5 a la igualdad y no discriminación, poniendo el foco en la prohibición de discriminación por motivos de discapacidad 108 , lo que permite concluir que la igualdad y no discriminación 108 Art. 5: Igualdad y no discriminación 66 conllevan que los Estados reconozcan las diferencias e intenten atender las necesidades específicas de los grupos que generalmente afrontan dificultades especiales en el sector de la salud, como los niños, las mujeres, los migrantes o las personas con discapacidad. Como puede comprobar el lector, se trata de enumeraciones no exhaustivas de discriminación, como confirman expresiones tales como “de otra índole” o “de cualquier otra condición”, que pueden incluir el estado de salud. A nivel nacional, el art. 14 de la CE proclama la igualdad de los españoles en cuanto a su “nacimiento, raza, sexo, religión, opinión o cualquier otra condición o circunstancia personal o social”. Es el último inciso del precepto el que posibilita un numerus apertus de factores 109 , que, con el paso del tiempo, se han materializado en nuevos modelos de discriminación, algunos de ellos relacionados directamente con el derecho a la salud. Se trata, pues, de una enumeración dinámica y abierta de circunstancias que se erigen en "categorías sospechosas de discriminación" o “factores de riesgo”. Así lo confirma el Tribunal Constitucional en su STC 62/2008, de 26 de mayo 110 , en relación a un despido por razón de salud: “no cabe duda de que el estado de salud del trabajador o, más propiamente, su enfermedad, pueden, en determinadas circunstancias, constituir un factor de discriminación análogo a los expresamente contemplados en el art. 14 CE, encuadrable en la cláusula genérica de las otras circunstancias o condiciones personales o sociales contemplada en el mismo” (FJ 6º). “1. Los Estados Partes reconocen que todas las personas son iguales ante la ley y en virtud de ella y que tienen derecho a igual protección legal y a beneficiarse de la ley en igual medida sin discriminación alguna.2. Los Estados Partes prohibirán toda discriminación por motivos de discapacidad y garantizarán a todas las personas con discapacidad protección legal igual y efectiva contra la discriminación por cualquier motivo. 3. A fin de promover la igualdad y eliminar la discriminación, los Estados Partes adoptarán todas las medidas pertinentes para asegurar la realización de ajustes razonables. 4. No se considerarán discriminatorias, en virtud de la presente Convención, las medidas específicas que sean necesarias para acelerar o lograr la igualdad de hecho de las personas con discapacidad”. 109 Así lo señala, entre otras, la STC 75/1983, de 3 de agosto (RTC 1983, 75), en relación a un caso en el que el Ayuntamiento de Barcelona había provisionado una plaza de interventor cuyo requisito era no ser mayor de 60 años. 110 RTC 2008, 62. 67 Grosso modo, las situaciones de mayor discriminación (directa, indirecta, por error, por asociación, etc.) en la práctica forense son originadas por razón de sexo 111 , discapacidad 112 y enfermedad 113 . Ante dicha realidad, el legislador español, siguiendo la estela del europeo, ha reaccionado con un buen número de normas antidiscriminatorias, entre las que podemos citar, entre otras, la Ley 51/2003, de 2 de diciembre de igualdad de oportunidades, no discriminación y accesibilidad universal de las personas con discapacidad, la Ley 33/2006, de 30 de octubre, sobre igualdad del hombre y la mujer en el orden de sucesión de los títulos nobiliarios y la Ley Orgánica 3/2007, de 22 de marzo, para la igualdad efectiva de mujeres y hombres. 111 Entre las sentencias más recientes, vid. STC 168/2020, de 16 de noviembre (RTC 2020, 168), en relación a la discriminación por razón de sexo a una trabajadora, al solicitar jornada reducida para la guarda legal de su hijo menor de edad. La trabajadora -médico del servicio de urgencias de un hospital malagueño-, vio cómo se aplicaban incorrectamente las reducciones en las horas trabajadas por jornada y las guardias. Alegó un trato desigual y discriminatorio, en el que se vulneraban derechos fundamentales, por la agencia pública que la contrató, haciendo ésta última, distinción en el trato de trabajadores a tiempo completo, respecto a los de jornada reducida. El TC le dio la razón, añadiendo que los datos estadísticos constataban que esta situación afecta fundamentalmente al sexo femenino, por lo que existía discriminación por sexo. 112 Vid. STC 51/2021, de 15 de marzo (RTC 2021, 52), en un caso de discriminación por razón de discapacidad al no tenerse en consideración, en el ámbito laboral, los ajustes necesarios a un trabajador con síndrome de Asperger y la STC 172/2021, de 7 de octubre (RTC 2021, 172) en relación a la discriminación por discapacidad a una trabajadora de la ONCE al solicitar el reconocimiento de una prestación de jubilación derivada de una situación de incapacidad permanente. 113 En el supuesto enjuiciado por la STSJ Galicia (Sala de lo Social, Sección 1ª) de 28 de marzo de 2019 (AS 2019, 1551) hubo discriminación por razón de enfermedad al extinguirse un contrato por la prolongación en el tiempo de la baja médica de la trabajadora, con categoría profesional de directora del departamento de clientes. La actora estuvo de baja por incapacidad temporal durante ocho meses, conociendo la empresa esta baja y su posible duración al tratarse de una hernia discal cervical. A los seis meses de su incorporación se la despide con la justificación de que el sector al que se dedica la empresa -elementos metálicos de calderería para la industria cementera-, estaba en crisis y no terminaba de recuperarse, además de que la carga de trabajo en el departamento de ella había descendido drásticamente. Sin embargo, tras su despido se contrató a otra persona que ejerció su misma labor. El TSJ gallego concluyó que hubo discriminación por enfermedad. 68 Hace unos años fue necesaria la intervención legislativa en un concreto ámbito de la contratación privada 114 en el que se producía un alto índice de discriminación, el de los seguros 115 . La Ley 50/1980, de 8 de octubre, de contrato de seguro (en adelante, LCS) fue reformada por el art. 14 de la Ley 26/2011, de 1 de agosto, de adaptación normativa a la Convención Internacional sobre los Derechos de las Personas con Discapacidad y más tarde por la Disposición final 1ª de la Ley 4/2018, de 11 de junio, por la que se modifica el Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias para añadir a la Ley de 1980 una Disposición adicional cuarta dedicada a la “No discriminación por razón de discapacidad” 116 y una quinta rubricada “No discriminación por razón de VIH/SIDA u otras condiciones de salud” 117 . Pese a tales previsiones normativas, la discriminación por razón de discapacidad o de enfermedad (no sólo VIH, piénsese en la diabetes, en la 114 Acerca de la horizontalidad de los derechos fundamentales, vid. LÓPEZ Y LÓPEZ, A. M.: Fundamentos de Derecho Civil. Doctrinas generales y bases constitucionales, Tirant lo blanch, Valencia, 2012, págs. 319-324 y en el ámbito concreto de la contratación privada, vid. el interesante trabajo de VIVAS TESÓN, I.: “El Derecho contractual antidiscriminatorio: Drittwirkung y libertad negocial”, en Cuadernos de Derecho Transnacional, vol. 13, nº 1, 2021, págs. 672-692. 115 En la SJPI de Barcelona nº 24 de 26 de febrero de 2015 (AC 2015, 500) se determinó que un menor con síndrome de Down había sido discriminado por su discapacidad al ser denegada la contratación de una póliza de seguros de asistencia sanitaria instada por su madre, en el momento de su nacimiento, con el antecedente de que todos los hermanos mayores del menor con síndrome Down, tenían contrato el mismo seguro sin mayor problema, por parte de una entidad aseguradora. Como ejemplo de discriminación respecto a la contratación de seguro por VIH reseñamos la SAP de Zaragoza (Sección 4º) nº 570/1999, de 21 de septiembre (AC 1999, 570), que versa sobre la procedencia de la indemnización del seguro de vida a la madre, ya que su hijo, cuando contrató el seguro de vida, no padecía VIH. La sentenció la procedencia de la indemnización y los intereses generados. Estimó igualmente que era irrelevante que el enfermo, una vez conocida su enfermedad, no lo comunicara a la aseguradora. 116 DA 4ª: “No se podrá discriminar a las personas con discapacidad en la contratación de seguros. En particular, se prohíbe la denegación de acceso a la contratación, el establecimiento de procedimientos de contratación diferentes de los habitualmente utilizados por el asegurador o la imposición de condiciones más onerosas, por razón de discapacidad, salvo que se encuentren fundadas en causas justificadas, proporcionadas y razonables, que se hallen documentadas previa y objetivamente”. 117 DA 5ª: “No se podrá discriminar a las personas que tengan VIH/SIDA u otras condiciones de salud. En particular, se prohíbe la denegación de acceso a la contratación, el establecimiento de procedimientos de contratación diferentes de los habitualmente utilizados por el asegurador o la imposición de condiciones más onerosas, por razón de tener VIH/SIDA u otras condiciones de salud, salvo que se encuentren fundadas en causas justificadas, proporcionadas y razonables, que se hallen documentadas previa y objetivamente”. 69 celiaquía, en el Covid-19) 118 del tomador o del asegurado persiste, sobre todo, en la suscripción de contratos de seguro de vida y asistencia sanitaria, si bien dichas situaciones raras veces se judicializan por diversos motivos, pero, el principal, por la enorme dificultad que entraña acreditar 119 el diferente trato sin justificación objetiva, proporcionada y razonable 120 . En el ámbito laboral 121 o en el acceso a empleos públicos como los Cuerpos y Fuerzas de Seguridad del Estado y en las Fuerzas Armadas se produce, con enorme frecuencia, discriminación por razón de salud como consecuencia de la indebida revelación de información resultante de pruebas médicas, lo que, además, vulnera el derecho a la intimidad. Son numerosos los casos de discriminación y estigma asociados al VIH, lo que no es debido más que a un profundo desconocimiento de la enfermedad 122 . A pesar de que clínicamente se haya avanzado, “la mentalidad social no ha evolucionado de la misma manera ni con la misma rapidez… Se ha dado años de vida a las personas con el Virus de Inmunodeficiencia Adquirida (en adelante, VIH), pero en muchas ocasiones se les sigue negando el acceso al ejercicio y disfrute de 118 Acerca de la materia, vid, entre otros trabajos doctrinales, PÉREZ BUENO, L. C.: La discriminación por razones de discapacidad en la contratación de seguros, Colección CERMI, 2004, nº 11; GONZÁLEZ CARRASCO, C.: “La discriminación por razón de discapacidad en los seguros privados de asistencia sanitaria”, en Revista CESCO de Derecho de Consumo, 2013, nº 8, págs. 408-419 y “La vida no va de cromosomas (a propósito del aseguramiento de la sanidad privada de los discapacitados”, íbidem, 2015; BOLÍVAR OÑORO, M./RAMIRO AVILÉS, M. A.: “La contratación de seguros no obligatorios por personas con el VIH”, 2016, disponible en https://www.cesida.org/wpcontent/uploads/2013/09/ClinicaLegal_MA_RamiroyM_Bolivar_VIHySeguros.pdf (Visita: 05/09/2022) y “Barreras en la contratación de seguros por razón de SARS-COV-2 o Covid-19”, en Revista española de seguros, nº 183-184, 2020, págs. 561-574. 119 Así lo hace ver VIVAS TESÓN, I.: “El Derecho contractual antidiscriminatorio: Drittwirkung y libertad negocial”, cit., pág. 675: “en la práctica, son escasas las ocasiones en que este tipo de conductas discriminatorias en el ámbito de las relaciones contractuales que permiten el acceso y suministro de bienes y servicios dan lugar a pronunciamientos judiciales, sobre todo, por su dificultad probatoria. Sin embargo, ello no quiere decir que no existan”. 120 Vid. STC 200/2001, 4 octubre (RTC 2001, 200). 121 La Sentencia del Juzgado de lo Social nº 3 de Castellón de la Plana de 7 de junio de 2005 (AS 2005, 2559) versa sobre el trabajador de una cadena de tiendas de ropa que, siendo homosexual y portador de VIH, es despedido. El juez observa indicios suficientes ante las incongruencias y la falta de contundencia de las respuestas de los compañeros que con rango superior promovieron su despido. A falta de prueba que acreditase la bajada de rendimiento que se alegaba, el Juez, en el FJ 7º concluye que: “…existen indicios suficientes para considerar que la verdadera razón por la cual fue despedido el actor era por ser portador del VIH (sic), sin que por la empresa se haya acreditado que en realidad existiera una razón de peso que ampararse un despido disciplinarlo y neutralizase la prueba indiciaria”. 122 RAMIRO AVILÉS, M. A./RAMÍREZ CARVAJAL, P.: “La exclusión de las personas con VIH de los cuerpos uniformados de seguridad en España”, en Revista Vasca de Administración Pública, nº 112, 2018, págs. 209-243. 70 sus derechos en igualdad de condiciones que el resto de ciudadanos. A esta discriminación se une el problema del estigma que sigue estando asociado al VIH, que hace que la exclusión social sea mucho más aguda y que profundice la invisibilidad a la que están sometidas” 123 . Ello puede predicarse de cualquier otra enfermedad ya conocida o que pueda surgir, como el Covid-19 y todo lo que gira en torno a ella, que ha dado origen a nuevas prácticas discriminatorias por razón de salud y nuevas dicotomías: vacunados o no vacunados; personas que pueden acceder a lugares por estar provistas del “pasaporte Covid” y las que no. Al respecto, es importante destacar que el empresario debe seguir un rígido protocolo en cuanto a la inmunización y privacidad de los datos sanitarios de su plantilla y ha de tener presente que no puede obligar a teletrabajar o despedir a un trabajador por decidir no vacunarse puesto que, en España, la vacunación no es obligatoria. Así las cosas, como señala LEÓN ALONSO 124 , aunque en España el derecho a la protección de la salud “se reconozca a todo ser humano y su ejercicio se proclame en condiciones de igualdad, la realidad revela que ni su titularidad es universal, ni tampoco su ejercicio está exento de discriminación”. El art. 14 de la CE no hace mención expresa a la discriminación por razón de salud, pero sí por sexo. En ocasiones la primera suele subsumirse en la segunda, por ello que pase a un segundo plano respecto a la no discriminación por razón de sexo: pensemos en el despido de una mujer embarazada en el que el sexo está estrechamente vinculado a la condición biológica y a la salud. Al respecto, como ha señalado reiteradamente el Tribunal Constitucional 125 , el art. 14 CE no consagra la promoción de la maternidad o de 123 RAMIRO AVILÉS, M. A./BARRANCO AVILÉS, M. C.: VIH y accesibilidad en tiempos de crisis, Dykinson, Madrid, 2014, pág. 10. 124 LEÓN ALONSO, M: “Discriminación por razones de salud”, en Estudios interdisciplinares sobre igualdad, ÁLVAREZ, FIGUERUELO y NUÑO (dirs.), CANCIO ÁLVAREZ (coord.), Iustel, Madrid, 2011, págs. 260 y ss. 125 Entre otras, SSTC 182/2005, de 4 de julio (RTC 2005, 182), 66/2014, de 5 de mayo (RTC 2014, 66), 162/2016, de 3 de octubre (RTC 2016, 162), 2/2017, de 16 de enero (RTC 2017, 2) y 108/2019, de 30 septiembre (RTC 2019, 108). 71 la natalidad, pero sí excluye toda distinción, trato peyorativo y limitación de derechos o legítimas expectativas de la mujer en la relación laboral fundado en dichas circunstancias, por lo que puede causar una vulneración del art. 14 CE la restricción de los derechos asociados con la maternidad o la asignación de consecuencias laborales negativas al hecho de su legítimo ejercicio, visto que el reconocimiento de esos derechos y sus garantías aparejadas están legalmente contemplados para compensar las dificultades y desventajas que agravan de modo principal la posición laboral de la mujer trabajadora. La protección de la condición biológica y de la salud de la mujer trabajadora ha de ser compatible con la conservación de sus derechos profesionales, de suerte que la minusvaloración o el perjuicio causado por el embarazo o la sucesiva maternidad constituyen un supuesto de discriminación directa por razón de sexo. De interés resulta la STSJ de Castilla-La Mancha de 2 de noviembre de 2007 126 , la cual declaró nulo el despido de una trabajadora que padecía una situación de violencia de género que derivó en una enfermedad de síndrome ansioso-depresivo. En el contexto sanitario encontramos, asimismo, la gerontofobia o edadismo (traducción del término inglés “ageism”), que incide mucho más en la mujer que en el hombre, dándose, por consiguiente, una situación de discriminación doble o múltiple 127 . Un reciente ejemplo de discriminación por edad lo vivimos al inicio de la pandemia del Covid-19 cuando, ante un sistema sanitario desbordado y con escasez de recursos (p. ej., respiradores) se tomaron decisiones en el triaje y priorización de asignación de recursos en las que resultaban excluidas las personas con discapacidad y nuestros mayores al margen de su concreta situación clínica, esto es, por el mero hecho de tener una 126 AS 2008, 489. 127 A 1 de enero de 2019, según el Instituto Nacional de Estadística (en adelante, INE), había en España 9.057.193 personas mayores de 64 años, un 19,3 % sobre el total de la población. Otro dato a tener en cuenta y que muestra el progresivo envejecimiento de la población española es que la edad media se sitúa en los 43,6 años, casi 4 años más que la registrada en 2001. Las mujeres son mayoritarias en la vejez, superando en un 32 % a los hombres (5.145.437 y 3.911.756 respectivamente), un aspecto que se acentúa cuanto más avanzada es la edad. Ahora bien, nacen más hombres que mujeres, un exceso que se mantiene hasta que la mayor mortalidad diferencial masculina elimina esa ventaja inicial, muchos años después. Ahora se alcanza el equilibrio entre sexos hacia los 50 años. 72 deficiencia o haber vivido ya muchos años, si bien, por fortuna, aquel criterio utilitarista fue de inmediato descartado tras el pronunciamiento del Comité de Bioética de España y, posteriormente, del Ministerio de Sanidad 128 . Muy próxima al cierre del presente trabajo investigador se ha producido la publicación de la Ley 15/2022, de 12 de julio, integral para la igualdad de trato y la no discriminación, con entrada en vigor dos días después de su publicación en el BOE el día 13 (publicándose también la Ley Orgánica 6/2022, de 12 de julio, complementaria de la Ley 15/2022, de 12 de julio, integral para la igualdad de trato y la no discriminación, de modificación de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal 129 ), la cual traspone los objetivos y fines de 128 Para un detallado relato de lo sucedido, vid. LLANO ALONSO, F. H.: “La vulnerabilidad de las personas mayores en tiempos de pandemia”, Pandemia y Derecho: Una visión multidisciplinar, LLORENTE (dir.), Laborum, Murcia, 2020, págs. 379-391 y VIVAS TESÓN, I.: Vivir con discapacidad en el contexto de una pandemia: el derecho a tener derechos, Tecnos, Madrid, 2021, págs. 86-92. 129 Da nueva redacción al art. 22.4ª del CP: “4.ª Cometer el delito por motivos racistas, antisemitas, antigitanos u otra clase de discriminación referente a la ideología, religión o creencias de la víctima, la etnia, raza o nación a la que pertenezca, su sexo, edad, orientación o identidad sexual o de género, razones de género, de aporofobia o de exclusión social, la enfermedad que padezca o su discapacidad, con independencia de que tales condiciones o circunstancias concurran efectivamente en la persona sobre la que recaiga la conducta”, así como a los puntos 1 y 2 del art. 510 del CP, que quedan redactados como sigue: “1. Serán castigados con una pena de prisión de uno a cuatro años y multa de seis a doce meses: a) Quienes públicamente fomenten, promuevan o inciten directa o indirectamente al odio, hostilidad, discriminación o violencia contra un grupo, una parte del mismo o contra una persona determinada por razón de su pertenencia a aquel, por motivos racistas, antisemitas, antigitanos u otros referentes a la ideología, religión o creencias, situación familiar, la pertenencia de sus miembros a una etnia, raza o nación, su origen nacional, su sexo, orientación o identidad sexual, por razones de género, aporofobia, enfermedad o discapacidad. b) Quienes produzcan, elaboren, posean con la finalidad de distribuir, faciliten a terceras personas el acceso, distribuyan, difundan o vendan escritos o cualquier otra clase de material o soportes que por su contenido sean idóneos para fomentar, promover, o incitar directa o indirectamente al odio, hostilidad, discriminación o violencia contra un grupo, una parte del mismo, o contra una persona determinada por razón de su pertenencia a aquel, por motivos racistas, antisemitas, antigitanos u otros referentes a la ideología, religión o creencias, situación familiar, la pertenencia de sus miembros a una etnia, raza o nación, su origen nacional, su sexo, orientación o identidad sexual, por razones de género, aporofobia, enfermedad o discapacidad. c) Quienes públicamente nieguen, trivialicen gravemente o enaltezcan los delitos de genocidio, de lesa humanidad o contra las personas y bienes protegidos en caso de conflicto armado, o enaltezcan a sus autores, cuando se hubieran cometido contra un grupo o una parte del mismo, o contra una persona determinada por razón de su pertenencia al mismo, por motivos racistas, antisemitas, antigitanos, u otros referentes a la ideología, religión o creencias, la situación familiar o la pertenencia de sus miembros a una etnia, raza o nación, su origen nacional, su sexo, orientación o identidad sexual, por razones de género, aporofobia, enfermedad o discapacidad, cuando de este modo se promueva o favorezca un clima de violencia, hostilidad, odio o discriminación contra los mismos. 2. Serán castigados con la pena de prisión de seis meses a dos años y multa de seis a doce meses: 73 la Directiva 2000/43/CE, relativa a la aplicación del principio de igualdad de trato de las personas independientemente de su origen racial o étnico y la Directiva 2000/78/CE, relativa al establecimiento de un marco general para la igualdad de trato en el empleo y la ocupación, operando modificaciones en distintas normas de nuestro ordenamiento jurídico 130 . Como indica en su Preámbulo, se trata, de un lado, de una ley de garantías que no pretende tanto reconocer nuevos derechos como garantizar los que ya existen, para lo cual desarrolla el art. 14 de la CE incorporando la amplia jurisprudencia constitucional al respecto y, de otro, de una ley general, frente a a) Quienes lesionen la dignidad de las personas mediante acciones que entrañen humillación, menosprecio o descrédito de alguno de los grupos a que se refiere el apartado anterior, o de una parte de los mismos, o de cualquier persona determinada por razón de su pertenencia a ellos por motivos racistas, antisemitas, antigitanos u otros referentes a la ideología, religión o creencias, situación familiar, la pertenencia de sus miembros a una etnia, raza o nación, su origen nacional, su sexo, orientación o identidad sexual, por razones de género, aporofobia, enfermedad o discapacidad, o produzcan, elaboren, posean con la finalidad de distribuir, faciliten a terceras personas el acceso, distribuyan, difundan o vendan escritos o cualquier otra clase de material o soportes que por su contenido sean idóneos para lesionar la dignidad de las personas por representar una grave humillación, menosprecio o descrédito de alguno de los grupos mencionados, de una parte de ellos, o de cualquier persona determinada por razón de su pertenencia a los mismos”. b) Quienes enaltezcan o justifiquen por cualquier medio de expresión pública o de difusión los delitos que hubieran sido cometidos contra un grupo, una parte del mismo, o contra una persona determinada por razón de su pertenencia a aquel por motivos racistas, antisemitas, antigitanos u otros referentes a la ideología, religión o creencias, situación familiar, la pertenencia de sus miembros a una etnia, raza o nación, su origen nacional, su sexo, orientación o identidad sexual, por razones de género, aporofobia, enfermedad o discapacidad, o a quienes hayan participado en su ejecución. Los hechos serán castigados con una pena de uno a cuatro años de prisión y multa de seis a doce meses cuando de ese modo se promueva o favorezca un clima de violencia, hostilidad, odio o discriminación contra los mencionados grupos”. 130 Tales modificaciones legislativas son las siguientes: − Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y comercio electrónico: se añade un segundo párrafo al apartado 4 del artículo 11. − Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil: se modifica el artículo 11 bis, se introduce un nuevo artículo 15 ter y se modifican los artículos 217.5 y 222.3. − Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa: se modifican los artículos 19.1 i) y 60.7. − Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas: se añade un nuevo apartado 3 bis en el artículo 77. − Ley 50/1981, de 30 de diciembre, por la que se regula el Estatuto Orgánico del Ministerio Fiscal: se añade un nuevo párrafo al artículo 18.3 y un apartado dos bis en el artículo 20. − Ley 3/1991, de 10 de enero, de Competencia Desleal: se añade un nuevo párrafo segundo en el apartado 2 del artículo 32. − Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias: se modifica la letra b) del artículo 52 y se añade un apartado 3 al artículo 46. − Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal: se modifican el artículo 22, excepción 4.ª, y los puntos 1 y 2 del artículo 510. 80 distinto el derecho a la información en la recogida de datos personales acerca de la identidad del responsable del tratamiento (y de su representante, en su caso), la finalidad del tratamiento, la posibilidad de ejercer los derechos establecidos en los arts. 15 a 22 del RGPD y, en su caso, del tratamiento para la elaboración de perfiles (art. 11.2 de la LOPDGDD). De este modo, debemos distinguir, con nitidez, entre la información para el tratamiento de datos de salud (la cual forma parte del contenido esencial del derecho fundamental a la protección de datos personales) de la información asistencial (la cual está relacionada con la libertad o autonomía del paciente ante los tratamientos médicos). La primera suele hacerse por escrito a través de una leyenda informativa en el mismo soporte en el que se recogen los datos ya que es la mejor forma de garantizar la información expresa, precisa e inequívoca y de asegurar, en tanto que la información asistencial como regla general, se proporciona verbalmente, dejando constancia en la HC 134 . Como puede observarse, cada derecho se rige por una normativa distinta, la de protección de datos y la sanitaria, debiendo adaptar la primera a las singularidades propias de la segunda (sirva de ejemplo que el derecho de oposición al tratamiento de datos personales no tiene sentido en el ámbito de la salud), tal y como iremos comprobando a lo largo de estas páginas. Claro lo anterior y en relación al consentimiento informado para los actos asistenciales, el art. 5 del Convenio de Convenio para la protección de los derechos humanos y la dignidad del ser humano con respecto a las aplicaciones de la Biología y la Medicina (Convenio relativo a los derechos humanos y la biomedicina), hecho en Oviedo el 4 de abril de 1997, dispone que “una intervención en el ámbito de la sanidad sólo podrá efectuarse después de que la persona afectada haya dado su libre e informado consentimiento. Dicha persona deberá recibir previamente una información adecuada acerca de la finalidad y la naturaleza de la intervención, así como sobre sus riesgos y consecuencias. En 134 Así lo indica TRONCOSO REIGADA, A.: “La confidencialidad de la historia clínica”, en Cuadernos de Derecho Público, nº. 27, (enero-abril) 2006, pág. 74. 81 cualquier momento la persona afectada podrá retirar libremente su consentimiento”. GALÁN CORTÉS 135 considera el consentimiento informado como un presupuesto y elemento integrante de lex artis y, por lo tanto, un acto clínico, cuyo incumplimiento puede generar responsabilidad cuando se materializan los riesgos típicos de los que el paciente no ha sido informado 136 . La otra cara de la moneda y en el mismo ejercicio de su derecho de libre autodeterminación encontramos el rechazo del paciente a someterse a un tratamiento médico bajo su propio riesgo y responsabilidad 137 . Dicha posibilidad es contemplada por el art. 2.4 de la LAP, según el cual todo paciente o usuario tiene derecho a negarse al tratamiento, excepto en los casos determinados en la Ley, negativa que ha de constar por escrito 138 . 135 GALÁN CORTÉS, J. C.: Responsabilidad civil médica, Cívitas-Thomson Reuters, Cizur Menor (Navarra), 2018, pág. 621. 136 A propósito de ello, vid. RUBIO TORRANO, E.: “Derechos fundamentales y consentimiento informado”, en Revista Doctrinal Aranzadi Civil-Mercantil, nº 19, 2001; ARCOS VIEIRA, Mª. L: Responsabilidad sanitaria por incumplimiento del deber de información al paciente, Thomson Reuters Aranzadi, Cizur Menor (Navarra), 2007 y “Consentimiento no informado: reflexiones en torno a la existencia de un ‘derecho a no saber’ aplicado a la información clínica”, en Autonomía del paciente e intereses de terceros: límites, ARCOS VIEIRA (coord.), Thomson Reuters Aranzadi, Cizur menor (Navarra), 2016, págs. 23-72; CADENAS OSUNA, D.: El consentimiento informado y la responsabilidad médica, Agencia Estatal del Boletín Oficial del Estado, Madrid, 2018; y, recientemente, LÓPEZ Y GARCÍA DE LA SERRANA, J.: El consentimiento informado en el ámbito sanitario: la valoración y cuantificación del daño, Atelier, Barcelona, 2022. 137 “En relación a un ingreso hospitalario involuntario de una gestante, la STC 66/2022, de 2 de junio (JUR 2022, 219087), que tiene varios votos particulares, recogiendo su doctrina sentada al respecto en pronunciamientos judiciales anteriores, señala: “también en conexión con esa autodeterminación opera el derecho consagrado en el art. 15 CE, que protege ‘la inviolabilidad de la persona, no solo contra ataques dirigidos a lesionar su cuerpo o espíritu, sino también contra toda clase de intervención en esos bienes que carezca del consentimiento de su titular’ (SSTC 120/1990, de 27 de junio, FJ 8, y 119/2001, de 24 de mayo, FJ 5). Su finalidad es proteger la “incolumidad corporal” (STC 207/1996, de 16 de diciembre, FJ 2), habiendo adquirido también una dimensión positiva en relación con el libre desarrollo de la personalidad, orientada a su plena efectividad (STC 119/2001, de 24 de mayo, FJ 5). Como se indicó en la STC 37/2011, de 28 de marzo, FJ 3, este derecho fundamental conlleva una facultad negativa, que implica la imposición de un deber de abstención de actuaciones médicas salvo que se encuentren constitucionalmente justificadas y, asimismo, una facultad de oposición a la asistencia médica, en ejercicio de un derecho de autodeterminación que tiene por objeto el propio sustrato corporal, como distinto del derecho a la salud o a la vida, razón por la cual hemos afirmado que el derecho a la integridad física y moral resultará afectado cuando se imponga a una persona asistencia médica en contra de su voluntad”. 138 Según el art. 12.1 y 2 del Código de Deontología médica (disponible en https://www.cgcom.es/sites/main/files/files/2022-03/codigo_deontologia_medica.pdf Visita: 05/09/2022), “1. El médico respetará el derecho del paciente a decidir libremente, después de recibir la información adecuada, sobre las opciones clínicas disponibles. Es un deber del médico respetar el derecho del paciente a estar informado en todas y cada una de las fases del proceso asistencial. 82 También puede resultar involucrada la libertad ideológica, religiosa y de culto garantizada por el art. 16 CE. Piénsese, por ejemplo, en el caso de las personas anti vacunas o de los testigos de Jehová al que hicimos alusión en páginas precedentes. Indiscutible es la estrecha relación entre el tratamiento de la información sanitaria y los derechos al honor, intimidad personal y familiar e imagen del art. 18.1 CE. Según la STC 190/2013, de 18 de noviembre 139 , el derecho a la intimidad personal garantizado por el art. 18, apartado 1, de la Constitución española, estrechamente vinculado al respeto a la dignidad de la persona, implica el reconocimiento de un ámbito propio y reservado frente a la acción y el conocimiento de los demás, necesario, según las pautas de nuestra cultura, para mantener una calidad mínima de la vida humana; dicho artículo confiere a la persona el derecho de imponer a terceros, sean éstos poderes públicos o simples particulares el deber de abstenerse de toda intromisión en la esfera íntima, así como la prohibición de hacer uso de lo así conocido. Y ello puede suceder tanto con los datos de salud de personas vivas como fallecidas, la cuales gozan de la llamada “protección de la personalidad pretérita” 140 . Como señala la STC 206/2007, de 24 de septiembre 141 , el derecho fundamental a la intimidad personal otorga, cuando menos, una facultad de exclusión, que impone a terceros el deber de abstención de intromisiones salvo que estén fundadas en una previsión legal que tenga justificación Como regla general, la información será la suficiente y necesaria para que el paciente pueda tomar decisiones. 2.‐ El médico respetará el rechazo del paciente, total o parcial, a una prueba diagnóstica o a un tratamiento. Deberá informarle de manera comprensible y precisa de las consecuencias que puedan derivarse de persistir en su negativa, dejando constancia de ello en la historia clínica”. 139 RTC 2013, 190. 140 Sobre el tema, vid. GUTIÉRREZ SANTIAGO, P.: “Dignidad y reputación de las personas fallecidas: la tutela civil de la memoria de los difuntos”, en Derechos y obligaciones en el Estado de Derecho. Actas del III Coloquio binacional México-España, 2017, págs. 465-493. 141 RTC 2007, 206. 83 constitucional 142 y sea proporcionada 143 , a menos que exista un consentimiento eficaz que lo autorice, pues corresponde a cada persona acotar el ámbito de intimidad personal y familiar que reserva al conocimiento ajeno. Dentro del ámbito propio y reservado frente a la acción y el conocimiento de los demás que preserva el derecho a la intimidad contenido en el art. 18.1 de la CE, se comprende, sin duda, la información relativa a la salud física o psíquica de una persona, en la medida en que los datos que a la salud se refieren constituyen un elemento importante de su vida privada, como establece la STEDH de 10 de octubre de 2006 (caso L.L. c. Francia, § 32) 144 . El propio TEDH establece que el respeto al carácter confidencial de la información sobre la salud constituye un principio esencial del sistema jurídico de todos los Estados parte en la Convención, por lo que la legislación interna debe prever las garantías apropiadas para impedir toda comunicación o divulgación de datos de carácter personal relativos a la salud contraria a las garantías previstas en el art. 8 del Convenio europeo de derechos humanos (STEDH de 25 de febrero de 1997, caso Z. c. Finlandia 145 ). En suma, la información relativa a la salud física o psíquica de una persona no es sólo una información íntima (SSTC 202/1994, de 4 de julio 146 y 62/2008, de 26 de mayo 147 ), sino además singularmente sensible y, por tanto, digna de especial protección desde la garantía del derecho a la intimidad (art. 6 del Convenio núm. 108 del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos 142 Como sucede con las medidas de control y pruebas de dopaje de deportistas. Al respecto, vid. STS de 1 de junio de 2017 (RJ 2017, 2337). 143 Según la STC 134/1999, de 15 de julio (RTC 1999, 134), el derecho a la intimidad garantiza que "a nadie se le puede exigir que soporte pasivamente la revelación de datos, reales o supuestos, de su vida privada personal o familiar" y que "el derecho fundamental a la intimidad personal consagrado por el artículo 18 de la Constitución Española, como todos los demás derechos, puede ceder ante otros [...] y bienes constitucionalmente relevantes, siempre que la limitación que haya de experimentar esté fundada en una previsión legal que tenga justificación constitucional, se revele necesaria para lograr el fin legítimo previsto, sea proporcionada para alcanzarlo, y sea además respetuosa con el contenido esencial del derecho". 144 TEDH 2006, 57. 145 TEDH 1997, 13. 146 RTC 1994, 202. 147 RTC 2008, 62. 84 de carácter personal, así como el art. 8 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos). Así, el derecho a la intimidad queda relevantemente afectado cuando, sin consentimiento del paciente, se accede a datos relativos a su salud o a informes relativos a la misma. Esto dicho, el derecho a la intimidad puede verse seriamente comprometido cuando se hace un uso indebido de los datos clínicos de una persona. El legislador es consciente de ello y, así, en el art. 10 de la LGS reconoce que, respecto de las distintas Administraciones públicas sanitarias, los ciudadanos tienen derecho al respeto a su personalidad, dignidad humana e intimidad, sin que pueda ser discriminado por su origen racial o étnico, por razón de género y orientación sexual, de discapacidad o de cualquier otra circunstancia personal o social (apartado 1º) y a la confidencialidad de toda la información relacionada con su proceso y con su estancia en instituciones sanitarias públicas y privadas que colaboren con el sistema público (apartado 3º). También refleja su preocupación en el art. 7 de la LAP, al disponer que “toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley”, obligando a los centros sanitarios a adoptar las medidas oportunas para garantizar tales derechos, elaborando, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes. Por su parte, el art. 7 de la Ley 33/2011, de 4 de octubre, General de Salud Pública (en adelante, LGSP) establece que todas las personas tienen derecho al respeto de su dignidad e intimidad personal y familiar en relación con su participación en actuaciones de salud pública, añadiendo en su art. 43.2 que “los trabajadores de centros y servicios públicos y privados y quienes por razón de su actividad tengan acceso a los datos del sistema de información están obligadas a mantener secreto”. 85 Naturalmente, quien sufra un menoscabo de su derecho a la intimidad puede exigir responsabilidad civil a través de la Ley Orgánica 1/1982, de 5 de mayo, de protección del derecho al honor, a la intimidad personal y a la propia imagen (en adelante, LOHIP), o, en caso de conducta constitutiva de delito, penal (vid. arts. 197 y ss. del CP). El uso de internet y de las redes sociales cuestiona, indudablemente, los límites del derecho a la intimidad 148 . Al respecto, en ocasiones, es el propio titular de los datos quien hace pública su información de salud. Cada vez es más frecuente ver mensajes en conocidas redes sociales en los que las personas usuarias de la misma, influencers o anónimas, hacen pública una enfermedad que le ha sido apenas diagnosticada 149 o bien información clínica de sus hijos menores. En el primer caso, es la propia persona quien, voluntariamente, ensancha el perímetro de su espacio privado o íntimo, con la consiguiente pérdida del derecho a exigir el respeto a la misma; en el segundo, la sobreexposición de la intimidad de los menores por sus progenitores es inadmisible 150 . Si nos paramos a pensar, la sociedad se está acostumbrando a la veloz erosión de los derechos fundamentales a través de las actuaciones individuales, lo que repercute directamente en la determinación del carácter antijurídico o no de la acción de terceros 151 en el mundo virtual, en el cual las vías de acceso a 148 Como señala BERROCAL LANZAROT, A. I.: Estudio jurídico-crítico sobre la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Análisis conjunto del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y de la Ley Orgánica 3/2018 de 5 de diciembre, Reus, Madrid, 2019, pág. 7, “lo que constituye una realidad es que, el uso de internet multiplica las oportunidades de recopilar datos, elaborar perfiles de usuarios, personalizar la publicidad y promoción en la red y, asimismo, contribuye al riesgo de incumplimiento de los derechos y libertades de las personas, en especial el derecho a la vida privada”. 149 Acerca de la materia, vid. HERRERA DE LAS HERAS, R./PAÑOS PÉREZ, A.: La privacidad de los menores en redes sociales. Especial consideración al fenómeno Influencer, Atelier, Barcelona, 2022. 150 PAÑOS PÉREZ, A.: “El interés del menor como criterio para determinar la ilegitimidad de la intromisión en los derechos del honor, la intimidad y la propia imagen del menor”, en Actualidad civil, nº 8, 2012. 151 Sobre ello, TOMEO, F.: Redes sociales y tecnologías 2.0, Astrea, Ciudad de Buenos Aires, 2014, págs. 150-151 se plantea: “¿Hasta qué punto con nuestras acciones diarias colaboramos implícitamente a que la línea que separa lo público de lo privado sea cada vez más delgada? ...En conclusión, aportamos a la comunidad virtual y a los medios sociales tantos datos de nuestras vidas y modos de pensar que todas nuestras acciones y comentarios se tornan previsibles, tanto para los amigos como para cualquier desconocido…la conclusión es simple; 86 dicha información a través de múltiples dispositivos electrónicos (ordenadores, teléfonos móviles, tabletas, etc.) hacen que la exposición de datos personales sea exponencial. El titular del derecho a la intimidad puede parecer, a priori, tener absoluta potestad para exponer sus datos íntimos sin límites. Al respecto, ha de tenerse en cuenta que existen diversas “proyecciones del derecho a la intimidad”, según señala SÁNCHEZ GONZÁLEZ 152 , como la corporal, la patrimonial, la medioambiental y la laboral. La intimidad personal, en sus múltiples facetas, va inexorablemente ligada a la familiar, la cual también está constitucionalmente amparada y ha de ser preservada del conocimiento ajeno. La STS de 20 de junio de 2003 153 , dentro de la jurisdicción penal, se ocupa de la dimensión familiar de la intimidad para establecer que no autoriza en modo alguno a uno de los cónyuges violar el derecho fundamental de la intimidad que, como persona, tiene el otro. Se trata de derechos básicos del ser humano que proscriben la injerencia de quien su titular no desee en el ámbito de su personalísima privacidad, que no cabe entender renunciado por el hecho de contraer matrimonio. El derecho a la intimidad es un bien jurídico propio de toda persona, con independencia de sus relaciones, sin que éstas tengan que conllevar una renuncia a su intimidad más allá de lo que la relación requiera, a salvo que sea el sujeto interviniente en la relación el que la sustraiga de su ámbito en supuestos concretos. La existencia del vínculo matrimonial no autoriza a considerar que los cónyuges carezcan de intimidad propia en el marco de sus relaciones, pasando determinados aspectos reservados de uno de los cónyuges a ser materia de la intimidad familiar. Por su parte, el Tribunal Constitucional, en su Sentencia 231/1988 154 afirma que "no cabe duda que ciertos eventos que pueden ocurrir a padres, cuanta más exposición e información entregamos a la web, menos será la privacidad y reserva de nuestros datos personales y de la esfera íntima”. 152 SÁNCHEZ GONZÁLEZ, M. P.: Honor, intimidad y propia imagen, Editorial Juruá, Lisboa, 2017, págs. 91 y ss. 153 RJ 2003, 4359. 154 RTC 1988, 231. 87 cónyuges o hijos, tienen, normalmente, y dentro de las pautas culturales de nuestra sociedad, tal trascendencia para el individuo, que su indebida publicidad o difusión incide directamente en la propia esfera de su personalidad. Por lo que existe al respecto un derecho propio y no ajeno a la intimidad, constitucionalmente protegible". Por tanto, no se tiene derecho a rebajar o disminuir el umbral de privacidad de un familiar. Un ejemplo de ello lo encontramos en la STS de 18 de noviembre de 2014 155 , en la que se ventila un caso en el cual, en el seno de una ruptura matrimonial, el marido envió un correo electrónico masivo (en concreto, a 87 destinatarios) en el que se hacía mención a la condición de adoptada de la hija común menor de edad, así como al padecimiento de determinadas enfermedades de su esposa que le creaban problemas de fertilidad, calificando, además, a su suegro de persona "mala y cruel". Se concluye la existencia de una intromisión ilegítima en el honor, intimidad personal y familiar de su mujer y del padre de ésta, condenando al marido al pago de una indemnización de 4.000 euros a cada uno. Las libertades de expresión y de información 156 también puede colisionar frontalmente con otros derechos fundamentales involucrados en el tratamiento 155 RJ 2014, 5953. 156 Ha de tenerse en cuenta que la libertad de expresión tiene un campo de acción más amplio que la de información [SSTC 104/1986 (RTC 1986, 104) y 139/2007 (RTC 2007, 139) y SSTS de 26 de febrero de 2014 (RJ 2014, 1158) y de 24 de marzo de 2014 (RJ 2014, 1752)] porque no comprende, como ésta, la comunicación de hechos, sino la emisión de juicios, creencias, pensamientos y opiniones de carácter personal y subjetivo. La libertad de información recae sobre la comunicación de hechos susceptibles de contraste con datos objetivos y tiene como titulares a los miembros de la colectividad y a los profesionales del periodismo [SSTC 104/1986, de 17 de julio (RTC 1986, 104), 139/2007, de 4 de junio (RTC 2007, 139) y 29/2009, de 26 de enero (RTC 2009, 29)]. No siempre es fácil separar la expresión de pensamientos, ideas y opiniones, garantizada por el derecho a la libertad expresión, de la simple narración de unos hechos, garantizada por el derecho a la libertad de información, toda vez que la expresión de pensamientos necesita a menudo apoyarse en la narración de hechos y a la inversa [SSTC 110/2000, de 5 de mayo (RTC 2000, 110), 29/2009, de 26 de enero 77/2009, de 23 de marzo (RTC 2009, 77) y 50/2010, de 4 de octubre (RTC 2010, 50)]. Según la STC 216/2013 (RTC 2013, 216), esa distinción “no es baladí pues la veracidad, entendida como diligencia en la averiguación de los hechos, condiciona la legitimidad del derecho a la información, requisito que, sin embargo, no es exigible cuando lo que se ejercita es la libertad de expresión, pues las opiniones y juicios de valor no se prestan a una demostración de su exactitud, como sí ocurre con los hechos [...]", por lo que, cuando concurran en un mismo texto elementos informativos y valorativos, se hace necesario de separarlos, y solo cuando sea imposible hacerlo, habrá que atender al elemento preponderante". 88 de datos sanitarios, debiéndose en tal caso realizar una ponderación de los mismos teniendo en cuenta las particulares circunstancias concurrentes. Al respecto, como afirma la STC 99/2002, de 6 de mayo 157 , la tutela de la intimidad "se debilita proporcionalmente, como límite externo de las libertades de expresión e información, cuando sus titulares son personas públicas o con notoriedad pública, estando obligadas por ello a soportar un cierto riesgo de que sus derechos subjetivos de la personalidad resulten afectados por opiniones sobre cuestiones de interés general" 158 . Como afirma LUQUIN BERGARECHE 159 , “la libertad de información prevalece en caso de conflicto con los derechos de la personalidad cuando tiene por objeto la transmisión de hechos noticiables por su dimensión, relevancia o transcendencia pública”. Interesante es el caso enjuiciado por la STS de 29 de julio de 2014 160 en relación a la publicación de un reportaje en el suplemento de un diario de prensa relativa a que unos famosos actores se estaban sometiendo a técnicas de reproducción asistida para concebir un hijo por medios artificiales. Los actores interpusieron demanda de protección de su derecho a la intimidad personal y familiar contra la editorial y las dos periodistas autoras del reportaje para que se declarase la intromisión ilegítima en el ámbito de ese derecho y las demandadas fueran condenadas a indemnizarles los daños morales causados con la publicación. Las demandadas se opusieron a la demanda alegando que los demandantes eran personajes públicos que se valían de los medios de comunicación para incrementar su popularidad y que, incluso, habían divulgado constantemente su esfera más íntima con gran provecho para sus carreras 157 RTC 2002, 99. 158 “Mientras que un particular desconocido para el público puede aspirar a una protección especial de su derecho a la vida privada, no sucede lo mismo con las personas públicas", señala la STEDH de 7 de febrero de 2012 (TEDH 2012, 10), Gran Sala, asunto Von Hannover c. Alemania nº 2, apdo. 110. 159 LUQUIN BERGARECHE, R.: “Algunas consideraciones sobre los límites del derecho a la desaparición digital a la luz de la entrada en vigor del Reglamento (UE) 2016/679, de 27 de abril de 2016”, en Revista Doctrinal Aranzadi Civil-Mercantil, nº 11/2018, BIB 2018\13982. 160 RJ 2014, 4593. 89 profesionales y, además, que ellas titulares del derecho a comunicar libremente información veraz. Tanto el Juez de Primera Instancia (en adelante, JPI) como la Audiencia Provincial (en adelante AP), concluyeron que se había vulnerado el derecho a la intimidad de los actores, con independencia de su fama y popularidad, porque los hechos de los que se dio noticia, resultaban "manifiestamente innecesarios e irrelevantes para el interés público de la información". Las periodistas interpusieron recurso de casación, el cual fue desestimado por el Tribunal Supremo (en adelante, TS), al considerar que el reportaje contenía afirmaciones sobre hechos relativos al ámbito más íntimo de los demandantes, su discutido sometimiento a un tratamiento de fertilidad para concebir un hijo, al cual no se aludió de manera tangencial sino que el fin principal del artículo no era otro que informar a los lectores de que se había sometido a dicho tratamiento y de cuáles fueron las circunstancias del mismo y, al respecto, afirma: “con la divulgación de este hecho solo se buscaba satisfacer la curiosidad de determinado público, deseoso de conocer la vida íntima de personajes famosos. El hecho de que el demandante hubiera expresado públicamente, en alguna ocasión, sus sentimientos hacia la demandada o que ambos aparezcan con frecuencia en reportajes de prensa y televisión y se hubiesen publicado unas fotos con sus imágenes saliendo de la clínica con el resultado de las pruebas de embarazo, no significa que ninguno de ellos hubiera consentido que los aspectos de su salud quedaran desprotegidos como objeto de su derecho a la intimidad”. En la Sentencia de 2 de marzo de 2015 161 , el TS conocía de un caso en el que se publicaba un artículo que revelaba datos médicos de una persona que ejercía un cargo público, los cuales habían sido aportados, con su autorización, a un proceso judicial entre las mismas partes litigantes a los efectos de acreditar unos daños morales. El Alto Tribunal considera que la lesión a su derecho a la intimidad es grave porque “se le expone ante la opinión pública como una persona afectada por un problema de salud mental sin demostrar hasta qué punto podría afectarle para el desempeño del cargo desempeñado hasta 161 RJ 2015, 708. 96 no trascienda fuera de la esfera en que se desenvuelve la privacidad de la persona de su núcleo familiar’ (Sentencia 392/2020, de 15 julio). Dijimos en la Sentencia 1328/2009, el 30 diciembre, estos datos sensibles son, por sí mismos, capaces de producir el perjuicio típico que exige el artículo 197 del Código Penal, por lo que si hubo acceso a los mismos, su apoderamiento y divulgación, poniéndolos al descubierto, comporta ese daño a su derecho a mantener los secretos ocultos (intimidad) integrando el perjuicio exigido por la norma. En los datos no sensibles sería preciso acreditar la concurrencia perjuicio. Es por ello que las alegaciones de la recurrente cuando expresa la necesidad de la concurrencia del perjuicio se cumplen pues el acceso a datos sensibles supone, de por sí, la existencia del perjuicio exigido por la norma. En el mismo sentido, la Sentencia 374/2020, de 8 julio que señala que los datos referentes a la salud integran el núcleo duro de la privacidad y rellena las exigencias del perjuicio típico que se refiere el artículo 197.2 del Código Penal objeto de la condena”. A la vista de lo anteriormente expuesto, hemos de concluir que en los supuestos de colisión de derechos fundamentales, entendemos que no debe generalizarse la prioridad absoluta de unos frente a otros. El derecho a proteger la información íntima como es la relativa a la salud tiene un sólido peso, pero no siempre ha de ser prioritario frente a otros derechos que puedan entrar en conflicto con él, debiéndose ponderar, en cada caso concreto, las circunstancias concurrentes 174 . Así se planteó en la pandemia Covid-19, en la que, al inicio de la campaña de vacunación, se conoció que algunos cargos públicos habían accedido a la primera dosis de la vacuna de manera irregular, cuestionándose si era o no legal publicar sus datos 175 . 174 Para CARRILLO, M.: “Los ámbitos del derecho a la intimidad en la sociedad de la comunicación”, en El derecho a la privacidad en un nuevo entorno tecnológico, Tribunal Constitucional, Madrid, 2016, pág. 65, “el interés público de la información en este ámbito forma parte de la transparencia y el control democrático, pero ello no empece para que, en su caso, los derechos de la personalidad de sus actores también sean objeto de salvaguarda”. 175 Acerca de ello, VIVAS TESÓN, I.: Vivir con discapacidad en el contexto de una pandemia: el derecho a tener derechos, cit., págs. 163-165, en cuya opinión no podía invocarse la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. 97 3.2. EL RÉGIMEN NORMATIVO ESTATAL Una vez analizado el marco constitucional de la protección de datos personales de salud, nos adentramos en el régimen normativo estatal aplicable en esta materia, pasando luego a dar cuenta de las regulaciones de las distintas CCAA que, como sabemos, tienen competencia para legislar sobre ella. Como adelanto, podemos señalar que en todas las normas comprobaremos la constante preocupación del legislador por la máxima tutela de los derechos fundamentales de la persona que hemos tenido oportunidad de examinar con anterioridad. En cuanto a la protección de datos de carácter personal, nuestro sistema normativo es fruto de los acontecimientos históricos, entre ellos la tardía entrada de España en la UE. Teniendo ello en cuenta, no es de extrañar que la primera norma jurídica relacionada con el derecho a la protección de datos date del año 1992 176 : la LORTAD. Hasta entonces, tan sólo contábamos con lo previsto en el art. 18 de la CE. En su Exposición de motivos se fundamentaba por qué era necesario salvaguardar los derechos al honor y a la intimidad personal y familiar, pues las técnicas de recogida de datos novedosas en aquella época amenazaban potencialmente tales derechos fundamentales. La LOPD de 1999 fue fruto de la transposición de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respeta al tratamiento de datos personales y a la libre circulación de estos datos y la LOPDGDD de 2018 176 Para SÁNCHEZ BRAVO, A.: “La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal: diez consideraciones en torno a su contenido”, en Revista de Estudios Políticos (Nueva Época), nº 111, enero-marzo 2001, págs. 201 y ss., “nuestro país, aunque con notable retraso, también se incorporó al grupo de naciones que tienen en su ordenamiento interno una norma concreta para la protección de datos personales. La publicación de la Ley Orgánica 5/1992 de Regulación del Tratamiento Automatizado de los datos de Carácter Personal (LORTAD) vino a colmar el vacío existente en esta materia, y a establecer los límites a los que el uso de la informática debería atemperarse, cuando tuviera por objeto el tratamiento de los referidos datos”. 98 responde a los mandatos del RGPD europeo de 2016, muy necesario dado el mosaico normativo existente hasta entonces en el seno de la UE y la consiguiente desigualdad en la tutela de los derechos de los ciudadanos. En la Disposición adicional decimoséptima de la LOPDGDD se realiza una mención expresa al art. 9.2 del RGPD, según el cual “quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física”. Sin embargo, como ya señalamos en su momento, el proprio precepto excluye su aplicación a determinados supuestos, no prohibiendo el tratamiento de datos, por consiguiente, en relación a lo que aquí nos ocupa, cuando: g) “el tratamiento es necesario por razones de interés público esencial”; h) “el tratamiento es necesario para fines de medicina preventiva o laboral”; i) “el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud”; j) “es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos”. En el ámbito sanitario y siguiendo un orden cronológico, destacamos la Ley 30/1979, de 27 de octubre, sobre extracción y trasplante de órganos, la cual garantiza el anonimato del receptor del órgano ex art. 4.d), quien debe prestar su consentimiento informado para ser trasplantado. Nada se concreta expresamente sobre el tratamiento de dicha información. Según el Dr. GORDILLO 177 , coordinador provincial de trasplantes de Cádiz, el sistema informático implantado en Andalucía diferencia los Informes de Alta de los Informes Éxitus. Nos encontramos ante Informes de Alta cuando son donaciones en vida 178 en las que se extraen órganos o tejidos, constatando en 177 Entrevista telefónica realizada por la doctoranda en diciembre de 2020. 178 El ejemplo más usual es la donación de riñón, habitualmente realizadas entre familiares cercanos (parejas, de padres a hijos, entre hermanos, etc.). El donante sufre una alteración en 99 el donante, tras la intervención quirúrgica, su buen estado de salud. Sin embargo, en el caso de los trasplantes de órganos y donante fallecido, será el Informe Éxitus el que deba realizarse, incorporándose automáticamente esta circunstancia a su HC. El Informe Éxitus queda en estado provisional en los casos en que se prevé extraer tejidos y/u órganos, motivo por el cual su HC no se cierra hasta que se realiza, en su caso, la donación. Existe un periodo de 4 a 6 horas en las que el programa permite introducir datos, lo que está especialmente pensado para los casos de donación post mortem, ya sea por muerte cerebral o por parada cardíaca. Como se ha indicado, la HC del fallecido no se cerrará definitivamente hasta que se introduzcan los datos que el programa informático exige, completando, así, el historial de salud de la persona. Se indicará cuáles son los órganos donados, pero, en ningún caso, quién o quiénes serán los receptores de los mismos, sea porque no se conocen, sea porque, conociendo su identidad, ésta está protegida por la Ley 30/1979. Es preciso destacar que tanto los Médicos Forenses como los del Equipo de Trasplantes, se rigen, en la actualidad, por la citada Ley 30/1979, pero también por el Real Decreto 1723/2012, de 28 de diciembre, por el que se regulan las actividades de obtención, utilización clínica y coordinación territorial de los órganos humanos destinados al trasplante y se establecen requisitos de calidad y seguridad, norma a la que, para no quebrar el orden temporal que estamos siguiendo, aludiremos más adelante. Así, si bien la normativa aplicable en donaciones y trasplantes es de carácter estatal, la organización y aplicación es territorial, es decir, por CCAA. Cada una de éstas se autogestiona, implementando sistemas y medios informáticos propios, lo cual dificulta el intercambio de información sanitaria entre las diferentes CCAA, debiendo añadirse a este inconveniente la autonomía de su cuerpo, lo cual requiere en la mayoría de los casos ingresos hospitalarios. El Informe de Alta se produce cuando este tipo de donante en vida se encuentra clínicamente recuperado para retomar su actividad diaria, pudiendo, así, abandonar el centro hospitalario. En la HC del donante aparecerá la donación realizada, incluyendo todo tipo de informes médicos, incluido el de Alta. 100 gestión que cada una tiene por la delegación de competencias propias. Según el Dr. GORDILLO, a pesar de que los datos sanitarios de los ciudadanos no son compartidos 179 entre las diferentes CCAA en lo que se refiere a donaciones y trasplantes, la información debe introducirse en una base de datos común a nivel nacional, posibilitando que personas de diferentes territorios nacionales puedan ser donantes o receptores (es decir, beneficiarios) entre sí. La Ley Orgánica 1/1982, de 5 de mayo, de protección del derecho al honor, a la intimidad personal y familiar y a la propia imagen es la norma aplicable cuando existe una intromisión ilegítima en tales derechos fundamentales en el marco de lo dispuesto por su art. 7. Ha de tenerse en cuenta que su art. 3.1 establece que “el consentimiento de los menores e incapaces deberá prestarse por ellos mismos si sus condiciones de madurez lo permiten, de acuerdo con la legislación civil”. Al respecto, destacamos, de un lado, el concepto jurídico indeterminado utilizado por el legislador “si sus condiciones de madurez lo permiten” y, de otro, que la norma no ha sido modificada por la Ley 8/2021, de 2 de junio, por la que se reforma la legislación civil y procesal para el apoyo a las personas con discapacidad en el ejercicio de su capacidad jurídica, por ello que en ella se mantenga el término “incapaces”. Por su parte, el art. 4 se ocupa de la protección civil del honor, la intimidad o la imagen de una persona fallecida. El art. 10 de la LGS recoge en sus distintos apartados (algunos de ellos hoy derogados) un listado de derechos del ciudadano frente a las Administraciones públicas sanitarias, entre los cuales se encuentra el respeto a su personalidad, dignidad humana e intimidad, sin que pueda ser discriminado por su origen racial o étnico, por razón de género y orientación sexual, de discapacidad o de cualquier otra circunstancia personal o social (apartado 1º), a 179 Las CCAA tienen delegadas competencias legislativas en sanidad, motivo por el que funcionan como Administraciones inconexas. Por ello, a pesar de que los desplazamientos entre los distintos territorios son algo cotidiano y numerosos, hoy día, no es posible obtener la HC de un paciente si proviene de otra CCAA. Un problema de salud o un accidente originado fuera de la Comunidad de origen implica, por ejemplo, no poder disponer siquiera del grupo sanguíneo del paciente en cuestión. 101 la información sobre los servicios sanitarios a que puede acceder y sobre los requisitos necesarios para su uso, la cual debe efectuarse en formatos adecuados, siguiendo las reglas marcadas por el principio de diseño para todos, de manera que resulten accesibles y comprensibles a las personas con discapacidad (apartado 2º) y a la confidencialidad de toda la información relacionada con su proceso y con su estancia en instituciones sanitarias públicas y privadas que colaboren con el sistema público (apartado 3º). Seis años después, la LORTAD configuró la Agencia de Protección de Datos, la actual Agencia Española de Protección de Datos (en adelante, AEPD), como un ente independiente que garantizaría el cumplimiento tanto de previsiones como de mandatos, respecto al tratamiento automatizado de datos de carácter personal. Conforme a ello, un año más tarde vio la luz el Real Decreto 428/1993, de 26 de marzo, por el que se aprobaba el Estatuto de dicha Agencia (en adelante, RDEAPD). Como dispone el art. 3.2 del RDEAPD, una de las funciones más importantes de la AEPD es que “podrá dirigirse directamente a sus titulares y responsables de cualesquiera ficheros de datos de carácter personal”. Además, la AEPD “atenderá las peticiones que le dirijan los afectados y resolverá las reclamaciones formuladas por los mismos, sin perjuicio de las vías de recurso procedentes” (art. 4.2). Esta función de velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial, en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos es, sin duda alguna, de suma importancia. La LPRL (1995), se dirige a velar por la salud de los trabajadores. En su art. 22 establece que “el empresario garantizará a los trabajadores a su servicio la vigilancia periódica de su estado de salud en función de los riesgos inherentes al trabajo. Esta vigilancia sólo podrá llevarse a cabo cuando el trabajador preste su consentimiento. De este carácter voluntario sólo se exceptuarán, previo informe de los representantes de los trabajadores, los supuestos en los que la realización de los reconocimientos sea imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores o para verificar 102 si el estado de salud del trabajador puede constituir un peligro para el mismo, para los demás trabajadores o para otras personas relacionadas con la empresa o cuando así esté establecido en una disposición legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad. En todo caso se deberá optar por la realización de aquellos reconocimientos o pruebas que causen las menores molestias al trabajador y que sean proporcionales al riesgo”. Y el mismo precepto añade que las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad de la persona del trabajador y la confidencialidad de toda la información relacionada con su estado de salud. Establece que los resultados de la vigilancia a que se refiere el apartado anterior serán comunicados a los trabajadores afectados y, en su apartado 4º, dispone: “Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador”. Al respecto, la STC 196/2004, de 15 de noviembre 180 , en su FJ 6º, aclara que los reconocimientos médicos de empresa nos son un instrumento de los empresarios para controlar la salud de los trabajadores sino “un derecho del trabajador a la vigilancia de su salud con su conformidad libre, voluntaria e informada”. Por ello, en el caso enjuiciado, la falta de información y consentimiento de una trabajadora tras un análisis de orina en el que se detectó consumo de droga se consideró una vulneración de sus derechos por “afectación en la esfera de la vida privada de la persona no justificada por riesgos laborales”. El art. 4.1 de la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor, de modificación parcial del Código Civil y de la Ley de 180 RTC 2004, 196. 103 Enjuiciamiento Civil (en adelante, LOPJM) dispone que “los menores tienen derecho al honor, a la intimidad personal y familiar y a la propia imagen. Este derecho comprende también la inviolabilidad del domicilio familiar y de la correspondencia, así como del secreto de las comunicaciones”. En los siguientes apartados, el precepto se ocupa de la intromisión ilegítima en los derechos fundamentales del menor de edad enumerados con anterioridad y las personas legitimadas para ejercitar las acciones de protección, entre las cuales juega un papel muy importante el Ministerio Fiscal. En su art. 22 quáter se regula el tratamiento de datos de carácter personal del menor 181 en los siguientes términos: “1. Para el cumplimiento de las finalidades previstas en el capítulo I del título II de esta ley, las Administraciones Públicas competentes podrán proceder, sin el consentimiento del interesado, a la recogida y tratamiento de los datos que resulten necesarios para valorar la situación del menor, incluyendo tanto los relativos al mismo como los relacionados con su entorno familiar o social. Los profesionales, las Entidades Públicas y privadas y, en general, cualquier persona facilitarán a las Administraciones Públicas los informes y antecedentes sobre los menores, sus progenitores, tutores, guardadores o acogedores, que les sean requeridos por ser necesarios para este fin, sin precisar del consentimiento del afectado. 2. Las entidades a las que se refiere el artículo 13 podrán tratar sin consentimiento del interesado la información que resulte imprescindible para el cumplimiento de las obligaciones establecidas en dicho precepto con la única finalidad de poner dichos datos en conocimiento de las Administraciones Públicas competentes o del Ministerio Fiscal. 3. Los datos recabados por las Administraciones Públicas podrán utilizarse única y exclusivamente para la adopción de las medidas de protección establecidas en la presente ley, atendiendo en todo caso a la garantía del interés superior del menor y sólo podrán ser comunicados a las Administraciones Públicas que hubieran de adoptar las resoluciones correspondientes, al Ministerio Fiscal y a los órganos judiciales. 4. Los datos podrán ser igualmente cedidos sin consentimiento del interesado al Ministerio Fiscal, que los tratará para el ejercicio de las funciones establecidas en esta ley y en la normativa que le es aplicable. 181 Para un estudio pormenorizado de la materia, vid. ANDREU MARTÍNEZ, B.: La protección de datos personales de los menores de edad, Aranzadi, Cizur menor (Navarra), 2013. 104 5. En todo caso, el tratamiento de los mencionados datos quedará sometido a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal 182 y su disposición de desarrollo, siendo exigible la implantación de las medidas de seguridad de nivel alto previstas en dicha normativa”. No podemos olvidar la Instrucción 1/2000, de 1 de diciembre, de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos, que, como la propia Instrucción comienza afirmando, es “una de las cuestiones que ha suscitado un mayor número de dudas por parte de los responsables de los ficheros y la sociedad en general” y que, durante los siete años de vigencia de la AEPD, había generado una abundante casuística que, hasta la fecha, no venía recogida sistemáticamente en ningún texto. En el año 2002 debemos citar la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, regulación muy necesaria a la vista de la extraordinaria expansión de las redes de telecomunicaciones y, en especial, de Internet como vehículo de transmisión e intercambio de todo tipo de información. En el mismo año se promulga la LAP, la cual constituye el marco jurídico en el que se encuadran las legislaciones autonómicas 183 . Dicha norma derogó algunos contenidos de la LGS para integrarlos en ella. En su art. 2 contiene siete principios básicos, a saber: 1. La dignidad humana, el respecto a la autonomía de su voluntad e intimidad, y la orientación hacia esos principios de la documentación clínica. 2. Las actuaciones en el ámbito sanitario requerirá el consentimiento de pacientes y usuarios. 3. El paciente o usuario, informado, tiene derecho a decidir libremente. 4. Este tiene 182 Hoy, LOPDGDD. 183 Como señala DE LORENZO Y MONTERO, R.: Derechos y obligaciones de los pacientes, Colex, A Coruña, 2019, pág. 32, “el carácter básico de la Ley 41/2002 obliga a las Comunidades Autónomas a adaptar su normativa a las previsiones contenidas en la misma, pero, por el contrario, asegura a todos los ciudadanos, sea cual fuere el lugar donde tengan su domicilio y reciban la asistencia sanitaria, las mismas garantías, especialmente en el terreno de información y documentación clínicas, lo cual puede ser valorado de forma positiva, evitando así un sinfín de legislaciones divergentes en una cuestión de tanta trascendencia como esta”. 105 derecho a negarse a tratamiento, y constará por escrito. 5. El paciente tiene la obligación de facilitar los datos -fidedignos- sobre su estado de salud o físico. 6. Todos los profesionales sanitarios tienen el deber de prestar correctamente sus servicios e informar y documentar clínicamente las situaciones de salud del paciente o usuario. 7. Quien realice o tenga acceso a datos y a información clínica, estará obligado a guardar las reservas y prudencias exigibles. Tales principios han de regir, por tanto, la protección de los datos sanitarios. Su art. 3 recoge definiciones legales de términos específicos del entorno de la salud tales como centro sanitario, certificado médico, consentimiento informado, documentación clínica, historia clínica, información clínica, médico responsable, paciente, usuario, etc., las cuales resultan imprescindibles en este específico ámbito de estudio. De tales definiciones destacamos la de “documentación clínica” como el soporte de cualquier tipo o clase que contiene un conjunto de datos e informaciones de carácter asistencial, de “historia clínica” como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial y de “información clínica” como todo dato, cualquiera que sea su forma, clase o tipo, que permite adquirir o ampliar conocimientos sobre el estado físico y la salud de una persona, o la forma de preservarla, cuidarla, mejorarla o recuperarla. El núcleo duro de la LAP se centra en el derecho a la información sanitaria, detectándose, con claridad, cómo en la relación médico-paciente se ha pasado de un modelo paternalista centrado en que el médico decidía por el paciente en virtud de sus conocimientos y éste depositaba toda la confianza en el médico dejando que decidiera por él, a un modelo basado en la primacía de la autonomía en el que los pacientes establecen con los profesionales sanitarios una relación en la que mutuamente se necesitan y respetan 184 . En la actualidad, se trata de una relación entre iguales, siendo clave en ella el derecho de información 184 DE LORENZO Y MONTERO, R.: Derechos y obligaciones de los pacientes, cit., págs. 41 y 42. 112 Por su parte, el art. 23 regula la cancelación de oficio de los datos personales transcurridos cinco años desde la intervención y alta de la paciente. Sólo en el caso de existencia de razones epidemiológicas, de investigación u organización y funcionamiento del SNS, la información clínica podrá conservarse, sin perjuicio del derecho de cancelación del paciente según la LOPDGDD. La Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación se preocupa, en su Título II, por los recursos humanos dedicados a la investigación. En su art. 15, entre los deberes del personal investigador, incluye la de adoptar las medidas necesarias para cumplir las normas jurídicas aplicables en relación a la protección de datos y a la confidencialidad, lo que resulta especialmente importante en relación a los datos sanitarios incluidos en las investigaciones. El art. 42 de la Ley 29/2011, de 22 de septiembre, de reconocimiento y protección integral a las víctimas del terrorismo dispone que “en las actuaciones y procedimientos relacionados con el terrorismo, se protegerá la intimidad de las víctimas; en especial sus datos personales, los de sus descendientes y los de cualquier otra persona que esté bajo su guarda o custodia”, debiéndose tener en cuenta que muchos de tales datos son relativos a la salud. El art. 7.2 de la Ley 33/2011, de 4 de octubre, General de Salud Pública (en adelante, LGSP) establece que “la información personal que se emplee en las actuaciones de salud pública se regirá por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en la actualidad, la LOPDGDD) y en la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en materia de Información y Documentación Clínica”. Su art. 41.3 dispone que tanto las personas públicas como las privadas, sean servicios y profesionales sanitarios o sean Administraciones sanitarias, habrán de ceder a la autoridad sanitaria si se les requiriese, los datos personales imprescindibles para tomar decisiones en cuanto a salud pública conforme la 113 LOPDGDD, sin que ello pueda considerarse un atentado a los derechos fundamentales de las personas afectadas. Según el art. 10.2.f) del Real Decreto 1723/2012, de 28 de diciembre, por el que se regulan las actividades de obtención, utilización clínica y coordinación territorial de los órganos humanos destinados al trasplante y se establecen requisitos de calidad y seguridad, los centros de obtención de órganos de donante vivo deben reunir una serie de requisitos entre los que se encuentran “disponer de un registro de acceso restringido y confidencial, con sus correspondientes claves alfanuméricas, donde se recogerán los datos necesarios que permitan garantizar la trazabilidad” . Como ya señalamos en páginas precedentes, la Ley 30/1979, de 27 de octubre, sobre extracción y trasplante de órganos no hace referencia expresa alguna a la protección de datos personales. Sin embargo, el Real Decreto 1723/2012 sí, al seguir los principios de la Directiva 2010/53/UE del Parlamento Europeo y del Consejo, de 7 de julio de 2010, sobre normas de calidad y seguridad de los órganos humanos destinados al trasplante. Así, en su art. 17.5 establece que “con objeto de mantener la trazabilidad, en la historia clínica del receptor se recogerán los datos necesarios que permitan identificar al donante, al órgano y al centro de obtención hospitalario del que procede el órgano trasplantado, con las correspondientes claves alfanuméricas que garanticen la protección de datos y la confidencialidad”; en su 22.2 contempla la implementación de un sistema de identificación de donantes y receptores que permita asociar cada donación con cada órgano y su receptor, cumpliendo así los requisitos de “confidencialidad y seguridad de los datos que establezca la normativa vigente en materia de protección de datos de carácter personal”; y en su art. 31.7, respecto a los sistemas de información, limita y restringe el acceso a este tipo de datos a personas “autorizadas en los centros, en las unidades de coordinación autonómica o en la Organización Nacional de Trasplantes”. 114 La Ley Orgánica 3/2013, de 20 de junio, de protección de la salud del deportista y lucha contra el dopaje en la actividad deportiva regula la protección de datos en su art. 16.1. Tanto clubes, como organizaciones, grupos u otras entidades deportivas, tienen la obligación de la llevanza de un libro, el cual debe estar registrado en la Agencia Española de Protección de la Salud en el Deporte, en el que constarán los tratamientos médicos y sanitarios de los facultativos que dirijan a deportistas y las prescripciones que sean autorizadas para éstos. Este libro de registro se considera un documento sanitario por su contenido, por lo que deberá tener la misma protección y custodia que una HC. Debemos también tener en cuenta la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, puesto que la gran parte de las prestaciones ofrecidas a los ciudadanos por las Administraciones públicas se realizan a través de redes electrónicas, posibilitando una comunicación interna entre los diferentes organismos públicos y el administrado. Baste pensar, en el sector sanitario, en la solicitud de cita previa médica o de vacunación, solicitud de certificados, etc. que el paciente ha de realizar a través de estos sistemas de comunicación. Por ello, los medios que se ponen a disposición del administrado, deben garantizar la protección de sus datos personales y, muy especialmente, los de salud. El art. 99 de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras, se refiere a la protección de datos de carácter personal. Contempla que las entidades aseguradoras pueden tratar datos de los tomadores, asegurados, beneficiarios, terceras personas perjudicadas, así como sus derechohabientes, “sin necesidad de contar con su consentimiento a los solos efectos de garantizar el pleno desenvolvimiento del contrato de seguro y el cumplimiento de las obligaciones establecidas en esta Ley”. Sin duda alguna, la protección de datos personales alcanza mayor relevancia aún en la contratación de seguros de salud y de vida. El art. 32, párrafo 2º de la Ley Orgánica 8/2015, de 22 de julio, de modificación del sistema de protección a la infancia y a la adolescencia contempla las inspecciones e informes de supervisión y control en los centros de protección de menores con problemas de conducta, lo que ha tener reflejo en el 115 Libro de Registro de Incidencias, el cual “deberá respetar, respecto a los cesionarios de datos, la adopción de las medidas de seguridad de nivel medio establecidas en la legislación vigente en materia de protección de datos de carácter personal”. En línea con ello, la Ley 26/2015, de 28 de julio, de modificación del sistema de protección a la infancia y a la adolescencia, reforma la LOPJM para incluir en ella disposiciones relativas a la protección de datos de menores de edad [vid. arts. 20 bis.1.c) 187 y 22 quáter 188 ]. El art. 3.1.d) 189 del Real Decreto 1090/2015, de 4 de diciembre, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos 187 El art. 20 bis.1.c) de la LOPJM dispone que “1. Los acogedores familiares tendrán derecho a: c) Ser informados del plan individual de protección así como de las medidas de protección relacionadas con el acogimiento que se adopten respecto al menor acogido, de las revisiones periódicas y a obtener información del expediente de protección del menor que les resulte necesaria para el ejercicio de sus funciones, a excepción de aquellas cuestiones relacionadas con el derecho a la intimidad de terceros y a la protección de datos de carácter personal”. 188 Según el art. 22 quáter de la LOPJM, “1. Para el cumplimiento de las finalidades previstas en el capítulo I del título II de esta ley, las Administraciones Públicas competentes podrán proceder, sin el consentimiento del interesado, a la recogida y tratamiento de los datos que resulten necesarios para valorar la situación del menor, incluyendo tanto los relativos al mismo como los relacionados con su entorno familiar o social. Los profesionales, las Entidades Públicas y privadas y, en general, cualquier persona facilitarán a las Administraciones Públicas los informes y antecedentes sobre los menores, sus progenitores, tutores, guardadores o acogedores, que les sean requeridos por ser necesarios para este fin, sin precisar del consentimiento del afectado. 2. Las entidades a las que se refiere el artículo 13 podrán tratar sin consentimiento del interesado la información que resulte imprescindible para el cumplimiento de las obligaciones establecidas en dicho precepto con la única finalidad de poner dichos datos en conocimiento de las Administraciones Públicas competentes o del Ministerio Fiscal. 3. Los datos recabados por las Administraciones Públicas podrán utilizarse única y exclusivamente para la adopción de las medidas de protección establecidas en la presente ley, atendiendo en todo caso a la garantía del interés superior del menor y sólo podrán ser comunicados a las Administraciones Públicas que hubieran de adoptar las resoluciones correspondientes, al Ministerio Fiscal y a los órganos judiciales. 4. Los datos podrán ser igualmente cedidos sin consentimiento del interesado al Ministerio Fiscal, que los tratará para el ejercicio de las funciones establecidas en esta ley y en la normativa que le es aplicable. 5. En todo caso, el tratamiento de los mencionados datos quedará sometido a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su disposición de desarrollo, siendo exigible la implantación de las medidas de seguridad de nivel alto previstas en dicha normativa”. 189 El art. 3.1.d) del RD1090/2015, de 4 de diciembre, indica: “Se respetan los derechos del sujeto a su integridad física y mental, y a su intimidad, y se protegen los datos de carácter personal que le conciernen, de acuerdo con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, así como con la normativa europea vigente en la materia”. 116 regula los requisitos generales que han de darse para la protección de los sujetos del ensayo y consentimiento informado. Su art. 41.3.g) 190 impone un deber de confidencialidad a quienes se encuentran implicados en tales procesos. Y cerramos este vasto recorrido normativo mencionando la LOPDGDD de 2018, cuya importancia describe GARCÍA MAHAMUT 191 con las siguientes palabras: “si bien es largo el camino que queda por recorrer, plagado de incertidumbre jurídica a la par que tecnológica, no puede obviarse que la LOPDGDD constituye un hito de enorme envergadura que terminará por permear todo el ordenamiento jurídico”. Mención aparte, pues no tiene carácter vinculante, merece la Carta española de Derechos Digitales, documento publicado en junio de 2021 que contempla en la Sección 1ª, apartado 3º, el derecho a la protección de datos del siguiente modo: “1. Con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. 2. Estos datos serán tratados respetando los principios de licitud, lealtad, transparencia, minimización, integridad, confidencialidad y limitación por la finalidad y plazo de conservación, con base en las garantías de su protección desde el diseño y por defecto. 3. El tratamiento de datos personales se fundamentará en las bases jurídicas que la mencionada normativa prevé. 4. Toda persona tiene derecho a ser informada en el momento de la recogida de los datos sobre su destino y los usos que se hagan de los mismos, a acceder a los datos recogidos que le conciernan y a ejercer sus derechos de rectificación, oposición, cancelación, portabilidad de los datos, y derecho a la supresión (derecho al olvido) en los términos previstos en la normativa de protección de datos nacional y europea. 190 El art. 41.3.g) del RD 1090/2015, de 4 de diciembre, obliga a “garantizar que todas las personas implicadas respetarán la confidencialidad de cualquier información acerca de los sujetos de ensayo, así como la protección de sus datos de carácter personal”. 191 GARCÍA MAHAMUT, R.: El Reglamento General de Protección de Datos. Un enfoque nacional y comparado, Tirant Lo Blanch, Valencia, 2019, pág. 129. 117 5. El respeto de este derecho estará sujeto al control de la Autoridad de Protección de Datos y el resto de organismos competentes en la materia”. Recapitulando, la problemática que plantea la protección de los datos de salud ha de ser analizada desde dos conjuntos normativos distintos pero llamados, necesariamente, a complementarse: de un lado, la legislación reguladora de la protección de datos de carácter personal y de otro, la sanitaria en tanto en cuanto contiene normas específicas concernientes al tratamiento de los datos de salud del paciente. Dada la complejidad que ello encierra, creemos necesaria una legislación específica, de carácter estatal, sobre la protección de los datos de salud 192 , puesto que, si observamos, lo que nos encontramos en la actualidad es que la legislación de protección de datos personales se remite a la reglamentación sanitaria y ésta a aquélla, lo que plantea no pocos problemas de índole práctica en un entorno en el que se maneja, de manera cotidiana, un gran volumen de información de alta sensibilidad. Ante la inexistencia de dicha ley, concluimos que ambos cuerpos normativos son compatibles, con la única salvedad de lo dispuesto por el art. 70.2 de la LIB, que contempla un consentimiento genérico o en blanco 193 , siendo éste rechazado por el RGPD 194 al exigir consentimientos específicos informados [vid. Considerandos 32, 33, 42 y 43 y arts. 4.11) y 9.2.a)] al igual que la LOPDGDD (art. 6.2). 192 Para BELTRÁN AGUIRRE, J. L.: “Reglamento general de protección de datos: novedades. Adaptación de la normativa española: El proyecto de LOPD”, en Derecho y Salud, vol. 28, nº extra 1, 2018, pág. 95, dicha ley podría ser ordinaria y no orgánica. 193 El art. 70.2 de la LIB dispone que “2. No obstante lo establecido en el apartado anterior, las muestras biológicas que se incorporen a los biobancos podrán utilizarse para cualquier investigación biomédica, en los términos que prescribe esta Ley, siempre que el sujeto fuente o, en su caso, sus representantes legales hayan prestado su consentimiento en estos términos”. 194 Así opina BELTRÁN AGUIRRE, J. L.: “Reglamento general de protección de datos: novedades. Adaptación de la normativa española: El proyecto de LOPD”, cit., pág. 93, para quien la legislación sanitaria es compatible con el RGPG, “por lo que, sin perjuicio de la conveniencia y necesidad de elaborar una ley específica de protección de datos de salud que complemente el RGPD, la vigente legislación sanitaria puede seguir aplicándose plenamente en espera de esa nueva ley. El único precepto incompatible es, en mi criterio, el artículo 70.2 de la LIB en cuanto habilita a practicar un consentimiento genérico”. 118 3.3. LA DISPAR LEGISLACIÓN AUTONÓMICA Como destaca en su Exposición de motivos la Ley 16/2003, de 29 de mayo, de cohesión y calidad del Sistema Nacional de Salud, al amparo de las previsiones constitucionales, todas las CCAA han asumido paulatinamente competencias en materia de sanidad. No hay duda de que la asunción de competencias por las distintas CCAA constituye un medio para aproximar la gestión de la asistencia sanitaria al ciudadano y facilitarle, así, garantías en cuanto a la equidad, la calidad y la participación, si bien ello no cumple con los principios constitucionales que fundamenta el Estado autonómico, como son la unidad, autonomía y solidaridad, a la vista de la disparidad regulatoria actualmente existente en materia de protección de datos sanitarios, como de inmediato tendremos ocasión de comprobar. Dadas las competencias autonómicas en materia de salud, las 17 CCAA han regulado distintas cuestiones de ordenación sanitaria que afectan al derecho a la protección de datos sanitarios y lo han hecho de forma muy dispar. Así, por ejemplo, algunas CCAA han regulado ad hoc la HC, otras la han incluido en sus leyes de salud y otras se remiten a la norma estatal. Podemos destacar que el Decreto 272/1986, de 25 de noviembre, por el que se regula el uso de la Historia Clínica de los Centros Hospitalarios de la Comunidad Autónoma del País Vasco fue pionera al respecto, en tanto que la primera ley sanitaria autonómica fue la Ley Foral 10/1990, de 23 de noviembre, de Salud de Navarra, debiendo transcurrir cuatro años para que vieran la luz simultáneamente (el mismo día), la Ley 4/1994, de 26 de julio, de Salud de la Región de Murcia y la Ley 11/1994, de 26 de julio, de Ordenación Sanitaria de Canarias. Las siguientes fueron la Ley 8/1997, de 26 de junio, de Ordenación Sanitaria de Euskadi y la Ley 2/1998, de 15 de junio, de Salud de Andalucía. En el año 2000 se promulga la Ley 8/2000, de 30 de noviembre, de Ordenación Sanitaria de Castilla La Mancha, siendo Cataluña la segunda 119 Comunidad autónoma en regular la HC, incluyéndola en la Ley 21/2000, de 29 de diciembre, sobre los derechos de información concernientes a la salud y la autonomía del paciente, y la documentación clínica. En el año 2001 vieron la luz tres normas vinculadas a la salud: la Ley 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes de Galicia; la Ley 10/2001, de 28 de junio, de Salud de Extremadura, y la Ley 12/2001, de 21 de diciembre, de Ordenación Sanitaria de la Comunidad de Madrid, en la cual se menciona la HC. Durante el año 2002 se promulgaron el Decreto 21/2002, de 24 enero, por el que se regula la atención al ciudadano en la Comunidad de Madrid; la Ley 6/2002, de 15 de abril, de Salud de Aragón (la cual regula la HC); la Ley 2/2002, de 17 de abril, de Salud de La Rioja (en la que tan sólo se menciona la HC) y la Ley 7/2002, de 10 de diciembre, de Ordenación Sanitaria de Cantabria (que regula la HC de los pacientes). El año 2003 vieron la luz la Ley 1/2003, de 28 de enero, de la Generalitat, de Derechos e Información al Paciente de la Comunidad Valenciana y la Ley 5/2003 de 4 de abril, de Salud de las Illes Balears. Al año siguiente solo se dictó la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos. El año 2005 se caracterizó por tener una alta producción normativa al respecto: la Ley 4/2005, de 29 de abril, sobre drogodependencias y otras adicciones en las Illes Balears; la Ley 3/2005, de 8 de julio, de información sanitaria y autonomía del paciente; el Decreto 178/2005, de 26 de julio, por el que se aprueba el Reglamento que regula la historia clínica en los centros y establecimientos hospitalarios y establece el contenido, conservación y expurgo de sus documentos, en las Islas Canarias; la Ley 9/2005, de 30 de septiembre, reguladora del documento de instrucciones previas en el ámbito de la sanidad de La Rioja y el Decreto 101/2005, de 22 de diciembre, por el que se regula la Historia Clínica de Castilla y León. 120 En 2007 se promulgaron en Andalucía el Decreto 197/2007, de 3 de julio, por el que se regula la estructura, organización y funcionamiento de los servicios de atención primaria de salud en el ámbito del Servicio Andaluz de Salud y la Ley 22/2007, de 18 de diciembre, de Farmacia de Andalucía. En los años posteriores entran en vigor la Ley 8/2008, de 10 de julio, de salud de Galicia, la Ley 3/2009, de 11 de mayo, de los derechos y deberes de los usuarios del sistema sanitario de la Región de Murcia y la Ley 18/2009, de 22 de octubre, de Salud Públic de Cataluña. El 2010 fue un año intenso en cuanto a la regulación autonómica sanitaria: el Decreto 15/2010, de 15 de enero, del Consell, por el que se regula el Sistema de Información en Salud Pública de la Comunidad valenciana; la Ley 16/2010, de 3 de junio, de modificación de la Ley 21/2000, de 29 de diciembre, sobre los derechos de información concerniente a la salud y la autonomía del paciente, y la documentación clínica de Cataluña; la Ley 5/2010, de 24 de junio, sobre derechos y deberes en materia de salud de Castilla-La Mancha; la Ley 10/2010, de 27 de septiembre, de Salud Pública y Seguridad Alimentaria de Castilla y León; la Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos; la Ley Foral 17/2010, de 8 de noviembre, de derechos y deberes de las personas en materia de salud en la Comunidad Foral de Navarra; la Ley 9/2010, de 23 de diciembre, de personal estatutario de instituciones sanitarias de la Comunidad Autónoma de Cantabria y la Ley 16/2010, de 28 de diciembre, de salud pública de las Illes Balears. Cuatro normas autonómicas vieron la luz en 2011: la Ley 10/2011, de 24 de marzo, de derechos y garantías de la dignidad de la persona en el proceso de morir y de la muerte de Aragón); el Decreto 24/2011, de 12 de abril de 2011, de la documentación sanitaria en Castilla-La Mancha; la Orden 5/2011, de 14 de abril, de la Conselleria de Sanidad, por la que se crea el Sistema de Información de Nuevas Infecciones por VIH y Casos de Sida (SIVIH) de la Comunitat Valenciana y la Ley 16/2011, de 23 de diciembre, de Salud Pública de Andalucía. 121 Un año después solo se creó el Decreto 38/2012, de 13 de marzo, sobre historia clínica y derechos y obligaciones de pacientes y profesionales de la salud en materia de documentación clínica del País Vasco y a finales de 2014 se promulgó la Ley 10/2014, de 29 de diciembre, de Salud de la Comunitat Valenciana. Le siguió la Ley 4/2015, de 23 de marzo, de derechos y garantías de la persona en el proceso de morir, de Islas Baleares y la Ley 11/2016, de 8 de julio, de garantía de los derechos y de la dignidad de las personas en el proceso final de su vida del País Vasco. En 2018 encontramos la Ley 8/2018, de 20 de abril, de modificación de la Ley 10/2014, de 29 de diciembre, de la Generalitat, de Salud de la Comunitat Valenciana, y la Ley 16/2018, de 28 de junio, de derechos y garantías de la dignidad de la persona en el proceso de atención al final de la vida, también de la Comunidad valenciana. Durante el año 2019 se promulgaron la Ley del Principado de Asturias 7/2019, de 29 de marzo, de Salud; el Decreto 51/2019, de 21 de junio, por el que se regulan la historia clínica y otra documentación clínica de Asturias; y la Ley 5/2019, de 31 de julio, de la Agencia de Salud Pública de Cataluña y de modificación de la Ley 18/2009, de 22 de octubre, de salud pública. Llegados al año 2020, la pandemia del Covid-19 generó una cantidad ingente de normas dirigidas a contener la expansión del virus, razón por la cual prescindiremos aquí de su elenco, sin perjuicio de citar algunas de ellas cuando abordemos alguna concreta cuestión que así lo requiera. A la vista del recorrido por algunas de las normas autonómicas relacionadas con la protección de datos sanitarios, observamos que las CCAA han utilizado categorías normativas muy diversas (leyes, reglamentos, órdenes, recomendaciones, etc.), un interés muy diverso por regular la sanidad y los datos de los pacientes y una forma muy desigual en el tratamiento normativo de la materia, como puede fácilmente detectarse en relación con la HC, en la que advertimos diferentes criterios de edad mínima del menor de edad para acceder a la misma y distintos plazos de conservación de la misma (20, 15 o 5 años). 128 A partir de la entrada en vigor del RGPD, como hacen ver APARICIO SALOM y VIDAL LASO 208 , “la norma deja atrás la concepción de que el tratamiento de datos constituía per se una vulneración de las libertades de los individuos, partiendo siempre de la idea de que el tratamiento era algo que estaba prohibido, salvo que el interesado o las leyes lo autorizaran, planteando así la actividad de tratamiento de datos como algo excepcional”. De este modo, la licitud ya no depende en exclusiva de la cesión voluntaria de datos, tal y como se deduce del citado art. 6.1 RGPD, regulándose situaciones expresas en las que el consentimiento no es necesario para legitimar el tratamiento como, por ejemplo, la ejecución de un contrato de trabajo o el cumplimiento de una obligación legal como la de conservar datos a efectos de prevención del blanqueo de capitales. De las circunstancias contempladas en el art. 6.1 del RGPD queremos llamar la atención, por guardar relación con los datos personales de salud, sobre las relativas a la protección de “intereses vitales de la persona” y al “interés público”. Según el Considerando 46, “el tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. 208 APARICIO SALOM, J./VIDAL LASO, M.: Estudio sobre la Protección de Datos, Thomson Reuters Aranzadi, Cizur Menor (Navarra), 2019, pág. 125. 129 de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano”. Un ejemplo reciente de lo previsto por el RGPD en cuanto a la circunstancia del “interés público” ha sido el tratamiento de datos durante la pandemia mundial del coronavirus SARS-CoV-2, la cual ha generado excepcionales circunstancias a las que se ha visto sometida la sociedad española 209 . La licitud como principio rector en el tratamiento de datos ha estado presente en el tratamiento de los datos de salud de los ciudadanos sin su consentimiento expreso con el objetivo de controlar la expansión del virus. A modo de ejemplo, ante la imposibilidad material de llevarlo a cabo los profesionales sanitarios como consecuencia del colapso en los centros de atención primaria y hospitalarios, se permitió el acceso a los datos de salud de los ciudadanos a profesionales no sanitarios, los rastreadores militares, legitimando no solo su acceso, sino el uso y tratamiento de aquéllos 210 . La AEPD, en su Informe N/REF: 0017/2020 en relación con el Covid-19 211 , concluye que el RGPD permite el tratamiento de datos de salud sin el consentimiento del interesado por concurrir las circunstancias de la protección de los intereses vitales de las personas físicas, del interés público y del cumplimiento de obligaciones legales en el ámbito laboral. Así las cosas, la licitud del tratamiento de datos por parte de las autoridades sanitarias en la crisis del Covid-19 tiene como fundamento lo previsto en el art. 6.1 apartados c) (cumplimiento de una obligación legal), d) (protección de intereses vitales del interesado o de tercero) y e) (interés público) y, en el caso concreto de los datos de salud, en el art. 9.2 apartados c) (protección del interés vital del interesado o de un tercero), g) (tratamiento por razones de interés público esencial), i) (tratamiento necesario por razones de 209 El Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el Covid-19, limitó algunos derechos fundamentales de la ciudadanía, como fue el caso de la libertad de movimiento. 210 Instrucción 43/2020, de 24 de julio, de la Subsecretaría de Defensa, por la que se establece el Sistema de Respuesta Temprana ante el Covid-19, en situación de nueva normalidad (BOD de 25 de julio de 2020). 211 Disponible en https://www.aepd.es/es/documento/2020-0017.pdf (Visita 05/09/2022). 130 interés público en el ámbito de la salud pública), a los que pueden añadirse los apartados h) (prestación de asistencia sanitaria o social) y j) (investigación científica) 212 . Según el art. 5.1.a) del RGPD, los datos personales serán tratados de manera lícita, pero también leal y transparente en relación con el interesado. Según RUÍZ-RICO RUÍZ 213 , “con la Ley 19/2013 la transparencia ha superado su configuración previa como principio programático que se despliega legalmente en un deber genérico de eficacia diferida y de proyección parcial (en cuanto soportes y contenido de la información); para convertirse en un principio generador de obligaciones jurídicas de aplicabilidad inmediata y directa exigibilidad”. El Considerando 39 del RGPD indica que “todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos 212 Para un mayor estudio, vid. ANDREU MARTÍNEZ, M. B.: “Privacidad, geolocalización y aplicaciones de rastreo de contactos en la estrategia de salud pública generada por la Covid-19”, en Actualidad jurídica iberoamericana, nº extra 12, 2, 2020, págs. 848-859. 213 RUÍZ-RICO RUÍZ, G.: “La dimensión constitucional del principio de transparencia y el derecho de información activa”, en Revista de Derecho Político (UNED), nº 110, enero-abril 2021, pág. 74. 131 personales, así como del modo de hacer valer sus derechos en relación con el tratamiento”. Tras su lectura, nos cuestionamos hasta qué punto los ciudadanos conocen quiénes y por qué tratan sus datos personales, además de los riesgos derivados de ello. Por ello, la transparencia y la claridad son cruciales, sobre todo, cuando existen tecnicismos ininteligibles para el ciudadano medio como ocurre en ámbito sanitario, en el que no es infrecuente que, al inicio de una prueba médica, se anexe un documento de protección de datos sanitarios que el usuario o paciente consiente de manera automática, lo que vacía de responsabilidad al responsable de su tratamiento, valga la redundancia, devolviéndosela al titular de aquéllos. Por ello, en cumplimiento del principio de transparencia, toda información relativa al tratamiento de los datos personales debe ser fácilmente accesible y entendible, debiendo usarse un lenguaje claro y sencillo. De este modo, los tratamientos con falta de transparencia son ilegítimos 214 , en cuyo caso el titular, a pesar de su consentimiento, no tendría responsabilidad alguna al respecto. En relación con ello, cuestión de especial relevancia y en la cual quisiéramos poner el foco es que el paciente tiene derecho a comprender la información necesaria para la toma de decisiones, accesibilidad cognitiva que es crucial cuando se trata de una persona con discapacidad (visual, auditiva, etc.) 215 . 214 A estos efectos considera BERROCAL LANZAROT, A. I.: Estudio jurídico-crítico sobre la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Análisis conjunto del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y de la Ley Orgánica 3/2018 de 5 de diciembre, cit., pág. 154, que “el responsable en aras de la máxima transparencia en la protección de datos, debe informar de todo lo relativo a la protección de datos… Por lo que no actuar de esta forma transparente, el comportamiento del interesado no tendría base legítima”. 215 Ha de tenerse en cuenta que, según la Encuesta de Discapacidad, Autonomía personal y Situaciones de Dependencia (EDAD) del año 2020 elaborada por el Instituto Nacional de Estadística y publicada en abril de 2022 (la nota de prensa puede consultarse en https://www.ine.es/prensa/edad_2020_p.pdf), un total de 4,38 millones de personas residentes en hogares afirmaron tener discapacidad o limitación en el año 2020. Por sexo, 1,81 millones eran hombres y 2,57 millones mujeres. La discapacidad o limitación afectaba a 94,9 personas por cada mil habitantes y en mayor medida a las mujeres (109,2) que a los hombres (80,1). Por edad, el 75,4% del colectivo con discapacidad o limitación residente en hogares tenía 55 o más años, siendo tres de cada cinco mujeres. 132 Al respecto, debemos citar la reciente publicación de la Ley 6/2022, de 31 de marzo, de modificación del Texto Refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social, aprobado por el Real Decreto Legislativo 1/2013, de 29 de noviembre, para establecer y regular la accesibilidad cognitiva y sus condiciones de exigencia y aplicación, norma que introduce específicamente la accesibilidad cognitiva dentro de la universal, para lo cual modifica la letra k) del art. 2 de la citada Ley General, que pasa a tener el siguiente tenor literal: “k) Accesibilidad universal: es la condición que deben cumplir los entornos, procesos, bienes, productos y servicios, así como los objetos, instrumentos, herramientas y dispositivos para ser comprensibles, utilizables y practicables por todas las personas en condiciones de seguridad y comodidad y de la forma más autónoma y natural posible. En la accesibilidad universal está incluida la accesibilidad cognitiva para permitir la fácil comprensión, la comunicación e interacción a todas las personas. La accesibilidad cognitiva se despliega y hace efectiva a través de la lectura fácil, sistemas alternativos y aumentativos de comunicación, pictogramas y otros medios humanos y tecnológicos disponibles para tal fin. Presupone la estrategia de «diseño universal o diseño para todas las personas», y se entiende sin perjuicio de los ajustes razonables que deban adoptarse”. Dicha accesibilidad universal es la que ha inspirado la Ley 15/2022, que, como señala en su Preámbulo, es entendida, asumida y aplicada en todas sus vertientes: física, cognitiva, actitudinal y de comunicación, con el fin de que todos los derechos puedan ser disfrutados por todas las personas sin excepción. La Ley 6/2022, de 31 de marzo añade, además, el art. 29 bis, según el cual: “1. Las condiciones básicas de accesibilidad cognitiva son el conjunto sistemático, integral y coherente de exigencias, requisitos, normas, parámetros y pautas que se consideran precisos para asegurar la comprensión, la comunicación y la interacción de todas las personas con todos los entornos, productos, bienes y servicios, así como de los procesos y procedimientos. 2. Estas condiciones básicas, que serán objeto de desarrollo normativo específico, se extenderán a todos los ámbitos a los que se refiere el artículo 5 de esta ley, por resultar precisas para promover el desarrollo humano y la máxima autonomía individual de todas las personas. 3. Estas condiciones básicas serán exigibles en los plazos y términos que se establezcan reglamentariamente. 133 4. Estas condiciones básicas de accesibilidad cognitiva, quedan encuadradas en el marco de la accesibilidad universal, conforme a lo estipulado en la letra k) del artículo 2 de esta ley”. Toda la información que ha de brindarse a un paciente con discapacidad debe ser accesible y comprensible. Para ello, se requiere formación específica en discapacidad por parte del personal sanitario, todo el tiempo que sea necesario para que comprenda la información y apoyos humanos y técnicos que precise el paciente en función de sus necesidades concretas (intérprete de lengua de signos, pictogramas, formularios en lectura fácil, etc.) y pueda tomar una decisión de forma independiente. En definitiva, la sanidad debe ser inclusiva para todos los ciudadanos sin excepción. Volviendo a la norma comunitaria de protección de datos, ésta no tiene en cuenta como falta de transparencia la solicitud del consentimiento en cualquier momento, lo que, en nuestra opinión, debió contemplar. En la práctica habitual se repite con bastante frecuencia la formalización del consentimiento del paciente por escrito pocos instantes antes de la realización de una prueba médica. Creemos que el tempus durante el que cual debe formarse y emitirse el consentimiento del titular de los datos sanitarios es un factor determinante que puede hacer tambalear tanto la transparencia como la lealtad del tratamiento de datos personales del paciente. La claridad necesaria y exigible que requiere el titular a través de necesarias explicaciones para poder comprender la información y, en consecuencia, prestar su consentimiento casa mal con la inmediatez temporal con la que se actúa en la práctica cotidiana. El principio de lealtad, junto al de transparencia, parte de conceptos que aluden a la fidelidad, la honestidad y la verdad. La lealtad como principio obliga al responsable del tratamiento a informar al titular antes de la recogida de datos personales y hacerlo a través de medios legítimos 216 . 216 Considera RODRÍGUEZ AYUSO, J. F.: Figuras y responsabilidades en el tratamiento de datos personales, cit., pág. 35, que “para que el tratamiento sea leal, es necesario que respete todos los requisitos, derechos y garantías que, al respecto, establece la normativa en materia de protección de datos”. 134 La forma a la hora de informar es sumamente importante, debiendo quedar expresada en un medio que permita acreditar con facilidad el cumplimiento del deber de información, esto es, que ésta se recibió, se comprendió y se consintió. En la actualidad, no se expide ninguna copia del documento informativo y, como puede fácilmente concluirse, la prueba de la información proporcionada verbalmente al titular de los datos es prácticamente diabólica 217 . 1.2. LIMITACIÓN DEL FIN Y MINIMIZACIÓN DE DATOS El principio de limitación del fin es fundamental en cuanto a la protección de datos sanitarios, pues aquellos que sean objeto de tratamiento han de ser los justos y necesarios para el objeto que se persigue, procurando no añadir otros que no aporten cualidad a lo que necesite ser usado. Según el art. 6.4 del RGPD, “cuando el tratamiento para otro fin distinto de aquél para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas: a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto; 217 Cuando existe una grabación verbal en la que se consiente el tratamiento de datos (por ejemplo, vía telefónica en contratos de servicios médicos), aquélla queda en manos solo de una de las partes contratantes, la que redacta el contrato de adhesión y graba. El titular de los datos, sin embargo, no recibe copia de dicha grabación, lo que conlleva una dificultad probatoria evidente con el fin de demostrar, llegado el caso, la transparencia y la lealtad del responsable del tratamiento de datos. 135 b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10; d) las posibles consecuencias para los interesados del tratamiento ulterior previsto; e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. Como ya indicamos en su momento, si bien el art. 9.1 del RGPD prohíbe el tratamiento de datos personales que puedan revelar el origen racial o étnico, el tratamiento de datos genéticos o biométricos (dirigidos a identificar a una persona de manera inequívoca) y el tratamiento de datos de salud relativos a la vida sexual y a las orientaciones sexuales de personas concretas, el art. 9.2 dispone que no se aplicará lo previsto en el apartado 1º en algunas circunstancias como, por ejemplo, cuando el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, cuando el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, cuando el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento o cuando el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre 136 la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario. El art. 5.1.c) del RGPD establece que “los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados” 218 . Por ello, únicamente deben considerarse lícitos los tratamientos que basen su contenido en la aportación de los datos mínimos y necesarios para los fines que se procuran. El precepto distingue entre adecuación y pertinencia de los datos personales. Para que un dato sea adecuado debe ser apropiado, es decir, ajustarse a las condiciones, necesidades o circunstancias concretas de su titular. Por su parte, la pertinencia del dato justifica el propósito o motivo por el que es necesario, de modo que la inclusión de cualquier dato caprichoso que no se ajuste ni se vincule directamente al motivo del tratamiento, deberá descartarse ab initio. El art. 25.2 de la norma comunitaria dispone que “el responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas”. Nada concreto dispone el RGPD en cuanto al tipo de medidas organizativas y organizativas a adoptar por el responsable del tratamiento, cuestión ésta que deja a su discrecionalidad. Al respecto, BELTRÁN AGUIRRE 219 enumera, entre otras, la recopilación de los datos que sean 218 Vid. Considerando 39 del RGPD. 219 BELTRÁN AGUIRRE, J. L.: “Reglamento general de protección de datos: novedades. Adaptación de la normativa española: El proyecto de LOPD”, en cit., págs. 87-88. 137 pertinentes para la finalidad perseguida evitando recogidas masivas que incluyan datos no pertinentes, la elaboración de programas de formación del equipo investigador para sensibilizarle respecto al derecho a la protección de los datos de salud y los deberes que ello conlleva, y el establecimiento de plazos de conservación de los datos en función del estudio a la par de protocolos de eliminación y destrucción de los datos una vez vencidos los plazos. Según BERROCAL LANZAROT 220 , con base en el Considerando 78 del RGPD, “el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. Dichas medidas podrán consistir, entre otras cosas, en reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y al tratamiento de datos personales, permitiendo a los interesados supervisar el tratamiento de los datos y a al responsable del tratamiento crear y mejorar elementos de seguridad”. Conforme a lo dispuesto por el art. 5.1.c) del RGPD, los tratamientos que utilicen datos innecesariamente han de ser considerados no ajustados a Derecho. Permitir accesos ilimitados, es decir, a personas no autorizadas, también consideramos que atenta contra dicha previsión normativa. En este sentido se pronuncian APARICIO SALOM y VIDAL LASO 221 , quienes consideran que “este principio no solo limita los datos que pueden someterse a tratamiento. Implica también la obligación de limitar el acceso a la información personal de que se trate exclusivamente a las personas que, por la actividad que desarrollan tienen la necesidad real de acceder a ella. Por lo tanto, es necesario determinar perfiles concretos de acceso que delimiten el tratamiento de datos impidiendo el acceso a la información por quienes no necesiten dicho acceso, o el acceso a más información de la estrictamente necesaria”. 220 BERROCAL LANZAROT, A. I.: Estudio jurídico-crítico sobre la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Análisis conjunto del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y de la Ley Orgánica 3/2018 de 5 de diciembre, cit., págs. 163 y ss. 221 APARICIO SALOM, J./VIDAL LASO, M.: Estudio sobre la protección de datos, Thomson Reuters Aranzadi, Cizur Menor (Navarra), 2019, pág. 57. 144 éstos desaparezcan o se destruyan, si bien se posibilita que su tratamiento continúe, quedando a merced de valoraciones posteriores. En relación a esto último nos surgen dudas acerca de la objetividad o subjetividad de tales valoraciones de ampliación del plazo de conservación de los datos. En materia contractual, el consentimiento sobre el tratamiento de datos personales contenidos en el contrato puede entenderse otorgado basándose en los fines ligados a su perfeccionamiento. En esta línea, APARICIO SALOM y VIDAL LASO 227 indican que, en virtud del art. 1258 del CC, la extinción del contrato conlleva la del tratamiento de datos. Aplicando lo anterior a un contrato de servicios médicos respecto, por ejemplo, a una intervención quirúrgica, una vez finalizada la prestación y lo que de ésta pudiera derivarse (como pudiera ser la rehabilitación posterior), entendemos que, resuelta su finalidad y no mediando interés público alguno, el plazo de conservación de los datos de salud habría de finalizar coetáneamente a la extinción contractual. Sin embargo, ¿podría encontrase justificación para dar continuidad a la conservación de tales datos? En nuestra opinión sí, ya que la salud del paciente cambia a lo largo de su vida y tal vez en un futuro pudieran necesitarse los datos originados en aquel contrato, por lo que la conservación de los mismos más allá de su extinción podría estar justificada. Dicho de otro modo, cuando se trata de datos personales relativos a la salud, resulta especialmente importante conservarlos durante largos periodos de tiempo como antecedentes que pueden ser eventualmente tenidos en cuenta para ulteriores actuaciones asistenciales de su titular (o de algún miembro de su grupo familiar) o bien, dado su alto valor, a efectos de salud pública o investigación científica (pensemos en la enorme utilidad del tratamiento masivo 227 APARICIO SALOM, J./VIDAL LASO, M.: Estudio sobre la protección de datos, cit., pág. 64. 145 de datos 228 , la reutilización de información y los big data) 229 , siempre, por supuesto, con las debidas garantías técnicas y jurídicas. Al respecto, el art. 17.1 de la LAP dispone que “los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. No obstante, los datos de la historia clínica relacionados con el nacimiento del paciente, incluidos los resultados de las pruebas biométricas, médicas o analíticas que en su caso resulten necesarias para determinar el vínculo de filiación con la madre, no se destruirán, trasladándose una vez conocido el fallecimiento del paciente, a los archivos definitivos de la Administración 228 Así lo hace ver GONZÁLEZ, P. A.: “Responsabilidad proactiva en los tratamientos masivos de datos”, en Dilemata, nº 24, 2017, págs. 115-129, quien en pág. 122 afirma: “los tratamientos masivos de datos suelen incluir datos adicionales, ya sea como metadatos básicos, como pueden ser la localización temporal (fechas, horas) o espacial (geolocalización) o como otros atributos obtenidos del contexto en que se generaron los datos. Su conservación durante largos periodos de tiempo forma parte de la propia concepción del tratamiento masivo de datos, a la espera de la oportunidad de una potencial explotación ulterior, y de hecho la acumulación de datos está llegando a constituir un valor intrínseco. Esto excede el principio de limitación del plazo de conservación, según el cual los datos debieran cancelarse una vez que dejasen de ser necesarios para la finalidad que justificó su recogida”. 229 Acerca de ello nos parece muy interesante el trabajo de AUSIN DÍEZ, T./ANDREU MARTÍNEZ, M. B./VALERO TORRIJOS, J./CAYÓN DE LAS CUEVAS, J.: “Diez consideraciones ético-jurídicas en relación con la reutilización y big data en el ámbito sanitario”, en Dilemata, nº 34, 2021, págs. 139-145, en el cual se contienen las conclusiones alcanzadas en un seminario sobre reutilización y big data en el ámbito sanitario celebrado en octubre de 2020 y, entre las cuales, destacamos las dos siguientes: “Sexta. Se precisa establecer una clara distinción entre los diferentes tipos de datos de salud en función de su propósito: predicción, tratamiento, investigación, gestión. Ello favorecerá su uso responsable y su mejor aprovechamiento en términos de equidad. Para favorecer el uso y reutilización de los datos de salud se promoverá la interoperabilidad de los datos lo que, con las oportunas garantías técnicas y jurídicas, permitiría conectar diferentes “data lakes” sin que se menoscaben los derechos y libertades. Séptima. Teniendo en cuenta tales garantías, se ha de propiciar una interpretación de la legislación vigente que, lejos de prejuicios y planteamientos no siempre justificados, favorezca el uso y reutilización de datos de salud por su valor social, interés público y bajo riesgo de daño. En definitiva, una interpretación pro big data que impulse un espacio compartido de datos de salud, al menos en el ámbito nacional. En este sentido, una vía de tratamiento de los datos de salud puede ser el establecimiento de licencias donde se establezcan las condiciones de uso de tales datos garantizando en todo caso el respecto de las garantías jurídicas y la efectiva prevalencia de los intereses generales”. 146 correspondiente, donde se conservarán con las debidas medidas de seguridad a los efectos de la legislación de protección de datos”. Y continúa en su apartado 2º estableciendo que “la documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. Sin perjuicio del derecho al que se refiere el artículo siguiente, los datos de la historia clínica relacionados con las pruebas biométricas, médicas o analíticas que resulten necesarias para determinar el vínculo de filiación con la madre del recién nacido, sólo podrán ser comunicados a petición judicial, dentro del correspondiente proceso penal o en caso de reclamación o impugnación judicial de la filiación materna”. El art. 32.1 de la LOPDGDD establece que “el responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión”. Conforme a ello, en ambas situaciones, dicho bloqueo de datos es de obligado cumplimiento. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos 230 . 230 Según dispone el art. 32 de la LOPDGDD, en su apartado 4º, “cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos 147 Como sabemos, las CCAA tienen asumidas competencias legislativas en materia sanitaria. Ello unido al carácter dispositivo del art. 5.1.e) del RGPD ha provocado que cada Comunidad autónoma regule sus propios periodos de conservación de datos, resultando de ello plazos muy diferentes para un mismo fin. Así, la Ley 7/2002, de 10 de diciembre, de Ordenación Sanitaria de Cantabria indica en su art. 72 que la HC de la persona habrá de conservarse, al menos, 15 años tras la muerte del paciente; el art. 21 del Decreto 101/2005, de 22 de diciembre, por el que se regula la HC en Castilla y León contempla un plazo mínimo de conservación de los datos 5 años; la Ley 21/2000, de 29 de diciembre, sobre los derechos de información concernientes a la salud y la autonomía del paciente y la documentación clínica de Cataluña dispone en su art. 12.1 que el plazo mínimo de conservación será, al menos, de 20 años tras el fallecimiento de su titular; y la Comunidad de Galicia contempla un plazo de conservación con carácter indefinido en el art. 20.1 de la Ley 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la HC de los pacientes. Ello genera una indeseable disparidad de criterios, quebrando, así, el principio de igualdad entre ciudadanos de distintos territorios, razón por la cual, en nuestra opinión, el plazo de conservación de datos debería ser determinado por una norma de rango estatal y con carácter único para todo el territorio nacional. Como se recordará, el RGPD no es aplicable a la protección de datos personales de personas fallecidas. No obstante, tanto la LOPDGDD y en la norma reglamentaria aún en vigor, como la LAP contienen previsiones normativas al respecto, las cuales abordaremos en el próximo Capítulo. durante el mismo” y en su apartado 5º establece que “La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento”. 148 1.5. CONFIDENCIALIDAD, INTEGRIDAD Y DEBER DE SECRETO Según el art. 5.1.f) del RGPD, “los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. Este principio conecta con la obligación contemplada en el art. 32.b) del RGPD consistente en que el responsable y/o el encargado del tratamiento de datos aplique medidas técnicas y organizativas que incluyan “la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento”. Por su parte, el art. 5 de la LOPDGDD presenta el siguiente tenor literal: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. La confidencialidad exige que el acceso a los datos solo sea posible por personas autorizadas, por ello se ha disponer de todos los medios necesarios para impedir que quienes no lo sean accedan a los mismos. En relación a los datos personales relativos a la salud, el TEDH en su Sentencia de 6 de octubre de 2009 (asunto C.C. v. España) 231 sostiene que el respeto al carácter confidencial de las informaciones sobre la salud es fundamental no sólo para proteger la vida privada de los enfermos sino, 231 TEDH 2009, 102. 149 igualmente, para preservar su confianza en el cuerpo médico y los servicios de salud en general. Por la falta de tal protección, las personas que necesitan cuidados médicos podrían ser disuadidas de proporcionar las informaciones de carácter personal e íntimo necesarias para la prescripción del tratamiento apropiado e incluso, consultar a un médico, lo que podría poner en peligro su salud e incluso, en el caso de enfermedades transmisibles, la de la comunidad. El art. 10.1 del Convenio de Oviedo establece que “toda persona tendrá derecho a que se respete su vida privada cuando se trate de informaciones relativas a su salud”. En el sector sanitario, las medidas técnicas y organizativas son insuficientes cuando se accede, indebidamente, a HCs de pacientes no asignados al profesional que realiza la consulta y sin tener motivo justificado 232 . Recordemos que, con frecuencia, llegan a la vía judicial casos de accesos por parte de profesionales de la salud a HCs de exparejas 233 , hijos 234 , hermanos 235 o compañeros de trabajo 236 , con el fin de conocer sus datos sanitarios pese a no ser pacientes suyos bien por mera curiosidad o bien para aportar alguna información relativa a su salud en algún procedimiento judicial en la que se encuentren inmersos. Si bien el acceso al sistema informático del centro sanitario mediante claves personales facilita considerablemente la consulta de los datos personales, ello no comporta legitimidad para hacerlo. El acceso por persona no autorizada es un ilícito que puede tener, incluso, reproche penal ex art. 197.2 del CP, el cual procede en todo caso sin necesidad de acreditar una grave afectación del bien jurídico protegido por tratarse de datos sensibles como son los de la salud de una persona. En definitiva, el mero acceso a tales datos colma las exigencias del tipo penal por el singular carácter sensible de aquéllos. 232 STS (Sala de lo Contencioso-Administrativo) de 20 de febrero de 2012 (RJ 2012, 4121), en relación al incumplimiento de las medidas de seguridad de las historias clínicas en papel. 233 Vid. STS (Sala de lo penal) de 17 de junio de 2019 (RJ 2019, 2601). 234 STS de 17 de marzo de 2021 (RJ 2021, 1351). 235 STS (Sala de lo penal) de 18 de octubre de 2012 (RJ 2013, 1437), que enjuicia el caso en el que una enfermera accede con su clave, durante el proceso de divorcio de su hermana, a la HC de la pareja que convivía con su ex cuñado. 236 STS (Sala de lo Penal) de 23 de septiembre de 2015 (RJ 2015, 4208). 150 Desde tiempos inmemoriales la confidencialidad está estrechamente vinculada al deber de guardar secreto, el cual se contiene en el conocido Juramento Hipocrático, un ritual milenario con el que han de cumplir los estudiantes de Medicina en su graduación: “Juro por Apolo el Médico y Esculapio y por Hygeia y Panacea y por todos los dioses y diosas, poniéndolos de jueces, que este mi juramento será cumplido hasta donde tenga poder y discernimiento. A aquel quien me enseñó este arte, le estimaré lo mismo que a mis padres; él participará de mi mandamiento y si lo desea participará de mis bienes. Consideraré su descendencia como mis hermanos, enseñándoles este arte sin cobrarles nada, si ellos desean aprenderlo. Instruiré por precepto, por discurso y en todas las otras formas, a mis hijos, a los hijos del que me enseñó a mí y a los discípulos unidos por juramento y estipulación, de acuerdo con la ley médica, y no a otras personas. Llevaré adelante ese régimen, el cual de acuerdo con mi poder y discernimiento será en beneficio de los enfermos y les apartará del perjuicio y el terror. A nadie daré una droga mortal aun cuando me sea solicitada, ni daré consejo con este fin. De la misma manera, no daré a ninguna mujer supositorios destructores; mantendré mi vida y mi arte alejado de la culpa. No operaré a nadie por cálculos, dejando el camino a los que trabajan en esa práctica. A cualesquier casa que entre, iré por el beneficio de los enfermos, absteniéndome de todo error voluntario y corrupción, y de lascivia con las mujeres u hombres libres o esclavos. Guardaré silencio sobre todo aquello que en mi profesión, o fuera de ella, oiga o vea en la vida de los hombres que no deba ser público, manteniendo estas cosas de manera que no se pueda hablar de ellas. Ahora, si cumplo este juramento y no lo quebranto, que los frutos de la vida y el arte sean míos, que sea siempre honrado por todos los hombres y que lo contrario me ocurra si lo quebranto y soy perjuro”. La versión moderna de dicho Juramento, que presenta algunos cambios respecto a la originaria, se contiene en la Declaración de Ginebra de 1948 237 con los siguientes términos: “Promesa del médico Como miembro de la profesión médica: 237 Puede consultarse en https://www.wma.net/es/policies-post/declaracion-de-ginebra/. (Visita: 05/09/2022). 151 Prometo solemnemente dedicar mi vida al servicio de la humanidad; Velar ante todo por la salud y el bienestar de mis pacientes; Respetar la autonomía y la dignidad de mis pacientes; Velar con el máximo respeto por la vida humana; No permitir que consideraciones de edad, enfermedad o incapacidad, credo, origen étnico, sexo, nacionalidad, afiliación política, raza, orientación sexual, clase social o cualquier otro factor se interpongan entre mis deberes y mis pacientes; Guardar y respetar los secretos que se me hayan confiado, incluso después del fallecimiento de mis pacientes; Ejercer mi profesión con conciencia y dignidad, conforme a la buena práctica médica; Promover el honor y las nobles tradiciones de la profesión médica; Otorgar a mis maestros, colegas y estudiantes el respeto y la gratitud que merecen; Compartir mis conocimientos médicos en beneficio del paciente y del avance de la salud; Cuidar mi propia salud, bienestar y capacidades para prestar una atención médica del más alto nivel; No emplear mis conocimientos médicos para violar los derechos humanos y las libertades ciudadanas, ni siquiera bajo amenaza; Hago esta promesa solemne y libremente, empeñando mi palabra de honor”. Tanto en una como en otra versión está presente el secreto profesional, que, en el ámbito sanitario constituye una obligación esencial para proteger los derechos del paciente 238 . La CE, en su art. 20.1.d), contempla que una ley regule el secreto profesional y en su 24.3 establece que "la ley regulará los casos en que, por razón de parentesco o de secreto profesional, no se estará obligado a declarar sobre hechos presuntamente delictivos". A día de hoy, dicha ley no existe, aunque sí previsiones en distintas normas como el art. 10.3 de la LGS y el art. 238 Sobre la materia, citamos, entre otros trabajos doctrinales, los de MUÑOZ CONDE, F.: “Falsedad documental y secreto profesional en el ámbito sanitario”, en Derecho y Salud, vol. 4, nº 1, 1996, págs. 147-155; GARCÍA SANZ, J.: “El secreto profesional en el ámbito sanitario”, en Estudios jurídico-penales sobre genética y biomedicina: Libro-homenaje al Prof. Dr. D. Ferrando Mantovani, BENÍTEZ, MORILLAS y PERIS (coords.), 2005, págs. 459-481; PALOMAR OLMEDA, A.: “La vulneración del deber de secreto y confidencialidad por personal sanitario. Delito de habeas data”, en La seguridad del paciente, PÉREZ GÁLVEZ (dir.), Tirant lo blanch, Valencia, 2018, págs. 255-288; y CONAL, I.: “Análisis doctrinal y jurisprudencial de los delitos de descubrimiento y revelación de secretos en el ámbito sanitario”, en Revista de Derecho y Genoma humano, nº extra 1, 2019, págs. 569-598. 152 16.3 y 6 de la LAP, así como en Códigos éticos o deontológicos que inspiran y guían los comportamientos de los profesionales sanitarios 239 . Ello, a nuestro juicio, genera inseguridad jurídica tanto a los profesionales sanitarios como a los pacientes (quienes, si no estuvieran seguros de que sus confidencias íntimas estarán siempre protegidas por el secreto profesional, no acudirían al médico o no dudarían en ocultarle información), que han de tener una relación caracterizada especialmente por la confianza y sinceridad, por ello debería afrontarse una regulación específica del secreto profesional que lo desarrolle de forma pormenorizada y acorde con las necesidades actuales. Hoy día, el paciente ya no es tratado por un único médico sino por varios facultativos, de modo que en la gestión de los datos personales del paciente participan distintos profesionales (médicos, enfermeros, auxiliares, técnicos administrativos, celadores, etc.). A ello ha de sumarse que el tratamiento digitalizado de los datos de salud es propicio a los accesos indebidos por parte de terceros no legitimados para ello, lo que ha de unirse a las características de la actual sociedad de la información y el uso exponencial de las redes sociales en las que, con suma frecuencia, parece que todo vale, en especial, las enfermedades y desgracias de políticos o personas famosas. Por ello, creemos que exigir un riguroso cumplimiento del deber de secreto profesional a todos los profesionales y trabajadores del entorno sanitario es, en nuestros días, más importante que nunca. El legislador comunitario es consciente de la relevancia que reviste la obligación de guardar secreto en la protección de datos personales cuando en el Considerando 164 del RGPD establece que “por lo que respecta a los poderes de las autoridades de control para obtener del responsable o del encargado del tratamiento acceso a los datos personales y a sus locales, los Estados miembros pueden adoptar por ley, dentro de los límites fijados por el presente Reglamento, normas específicas con vistas a salvaguardar el deber de secreto profesional u obligaciones equivalentes, en la medida necesaria para conciliar el derecho a la 239 Vid. arts. 16 a 20 del Código de Deontología y Ética Médica español y arts. 19 a 21 del Código deontológico de Enfermería Española. 153 protección de los datos personales con el deber de secreto profesional. Lo anterior se entiende sin perjuicio de las obligaciones existentes para los Estados miembros de adoptar normas sobre el secreto profesional cuando así lo exija el Derecho de la Unión”. 1.6. PROPORCIONALIDAD Como tuvimos ocasión de exponer en su momento, el derecho a la protección de datos es un derecho fundamental pero no absoluto, es decir, tiene límites, debiendo, en ocasiones, ceder ante intereses constitucionalmente relevantes. Según la STC 186/2000, de 10 de julio 240 , “de conformidad con la doctrina de este Tribunal, la constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene determinada por la estricta observancia del principio de proporcionalidad. A los efectos que aquí importan, basta con recordar que –como sintetizan las SSTC 66/1995, de 8 de mayo, F. 5; 55/1996, de 28 de marzo, F. 6, 7, 8 y 9; 207/1996, de 16 de diciembre, F. 4 e), y 37/1998, de 17 de febrero, F. 8– para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)” (FJ 6º). Consciente de que no es un derecho absoluto, el RGPD, en su Considerando 4, afirma: “el tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos 240 RTC 2000, 186. 256 “Las obligaciones establecidas en el Código Civil, en tanto el menor no sea emancipado, permanecen durante toda la minoría de edad del afectado. De este modo, estando obligados los titulares de la patria potestad en los términos que se han descrito no sería oponible a este acceso la mera voluntad del menor sometido a patria potestad, con la única excepción de que una norma con rango de Ley hiciese expresamente primar la voluntad del menor sobre la de los titulares que pretenden el acceso. Por último, en relación con el ejercicio del derecho por el propio menor, debe tenerse en cuenta que el artículo 9.3 c) de la Ley 41/2002 prevé que el menor tendrá conocimiento del acto médico respeto del que sus padres prestan el consentimiento para la realización. Siendo esto así y estableciéndose, como se indicó al comienzo de esta Agencia por el Reglamento una presunción legal de que el menor cuenta con condiciones suficientes de madurez para el ejercicio de sus derechos relacionados con la protección de datos a partir de los catorce años, sería posible diferenciar entre el derecho a prestar el consentimiento y los vinculados al acceso a la historia clínica. Así, si bien será precisa la prestación del consentimiento por los padres o tutores, sí cabría considerar que el menor de edad podría ejercer el derecho de acceso a partir de los catorce años, si bien este ejercicio no puede entenderse como limitación al derecho de los titulares de la patria potestad del menor no emancipado a acceder a su historia clínica en los términos que acaban de indicarse en el presente informe”. Y, a la vista de ello, la AEPD realiza las siguientes conclusiones: − El consentimiento para el tratamiento de los datos de los menores de edad en las HCs queda supeditado a lo dispuesto en el art. 9.3 c) de la LAP. − El menor de edad mayor de 14 años podrá, en general, ejercitar por sí solo el derecho de acceso a la HC. − Los titulares de la patria potestad podrán también acceder a los datos del menor de edad sujeto a aquélla mientras esa situación persista, para el cumplimiento de las obligaciones previstas en el CC. similar, al disponer que “El tutor está obligado a velar por el tutelado y, en particular (...) a educar al menor y procurarle una formación integral”. 257 − No podrá oponerse a ese acceso la mera oposición del menor salvo que así lo reconociera una norma con rango de Ley. Por consiguiente, la Agencia considera que el menor de edad mayor de 14 años podrá, en general, ejercitar por sí solo el derecho de acceso a la HC, lo que también pueden hacer los titulares que ostentan la patria potestad sobre él durante toda su minoría de edad para poder cumplir las obligaciones previstas en el art. 154 CC, entre ellas, velar por el menor, sin que pueda impedirlo el menor que se oponga, salvo que una norma con rango legal así lo reconociera. Por tanto, según la AEPD, los representantes legales del menor de edad tienen derecho a acceder a su HC mientras mantengan la patria potestad o la tutela, lo que, tras la Ley 8/2021, alcanza hasta la mayoría de edad, a pesar de que el menor de edad tenga capacidad para prestar el consentimiento informado sanitario. De este modo, la confidencialidad del menor resulta muy mermada, lo que es muy difícil de entender en el caso del adolescente de 16 años. VIVAS TESÓN 416 apunta a que el giro operado por la AEPD puede ser debido a que, además la responsabilidad parental que ostentan los progenitores (y, en su caso, el tutor), éstos también son responsables civilmente por los ilícitos cometidos por el menor ex art. 1903 del CC, por ello que tengan derecho a conocer sus datos clínicos (p. ej. consumo de drogas, padecimiento de enfermedades de transmisión sexual como el VIH, etc.). Y concluye: “creemos que el menor maduro debe gozar de un status quo claro, ajeno a los cambios legislativos y con un marco normativo interno menos proteccionista o paternalista como lo es el actual y más humano o existencial”. La separación, la nulidad y el divorcio no eximen a los progenitores de sus obligaciones para con los hijos, por ello, como señala VIGUERAS PAREDES 417 , en el supuesto de ruptura matrimonial, mientras no exista privación de patria potestad, cualquiera de ellos puede acceder al contenido de la HC del menor. 416 VIVAS TESÓN, I.: “Autodeterminación informativa, validez del consentimiento y protección de datos sensibles: críticas al nuevo marco normativo”, cit., pág. 259. 417 VIGUERAS PAREDES, P.: “Historia clínica: acceso, disponibilidad y seguridad”, cit., pág. 17. 258 APARICIO SALOM y VIDAL LASO 418 ponen especial atención en el art. 20 de la LAP, según el cual “todo paciente, familiar o persona vinculada a él, en su caso, tendrá el derecho a recibir del centro o servicio sanitario, una vez finalizado el proceso asistencial, un informe de alta con los contenidos mínimos que determina el artículo 3”. Como puede apreciarse, la norma alude a “todo paciente”, sin hacer ninguna discriminación de edad, lo que permitiría concluir que el menor de edad mayor de 14 años podría exigir que le fuera entregado dicho informe asistencial. El conflicto nace en el caso de que los titulares de la patria potestad o el tutor quisieran obtener dicha información y el menor se negase. A la vista del criterio de la AEPD ya expuesto, habría de concluirse que, a pesar de la voluntad contraria del menor, sus representantes legales tendrían derecho al informe asistencial, salvo que una norma con rango legal prevea una cosa distinta. En cuanto a la debida acreditación de la representación legal ex art. 18.2 de la LAP, ésta no plantea problemas de índole práctica. Sumamente importante nos parece el derecho a ser oído y escuchado que ostenta el menor. Conforme al art. 9.1 de la LOPJM, “el menor tiene derecho a ser oído y escuchado sin discriminación alguna por edad, discapacidad o cualquier otra circunstancia, tanto en el ámbito familiar como en cualquier procedimiento administrativo, judicial o de mediación en que esté afectado y que conduzca a una decisión que incida en su esfera personal, familiar o social, teniéndose debidamente en cuenta sus opiniones, en función de su edad y madurez. Para ello, el menor deberá recibir la información que le permita el ejercicio de este derecho en un lenguaje comprensible, en formatos accesibles y adaptados a sus circunstancias”. 418 APARICIO SALOM, J./VIDAL LASO, M.: Estudio sobre la protección de datos, cit., pág. 316. 259 En el apartado 2, el legislador prevé que se garantice que el menor, cuando tenga suficiente madurez, pueda ejercitar este derecho por sí mismo o a través de la persona que designe para que le represente y añade: “la madurez habrá de valorarse por personal especializado, teniendo en cuenta tanto el desarrollo evolutivo del menor como su capacidad para comprender y evaluar el asunto concreto a tratar en cada caso. Se considera, en todo caso, que tiene suficiente madurez cuando tenga doce años cumplidos” 419 . Como puede comprobarse, la norma hace alusión a la determinación de la madurez del menor por el “personal especializado”, expresión amplia en la que, cómo no, tienen cabida los distintos profesionales del entorno sanitario como médicos, enfermeros, psicólogos, psiquiatras, etc. 1.4.4. EL ACCESO A LA HISTORIA CLÍNICA DE PERSONA FALLECIDA El art. 2 de la LOPDGGD excluye expresamente de su ámbito de aplicación el tratamiento de datos de personas fallecidas, sin perjuicio de lo regulado inmediatamente después en su art. 3, el cual dispone que “las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquélla y, en su caso, su rectificación o supresión”, salvo que el causante lo hubiere prohibido expresamente o lo estableciera una ley, prohibición que, como es lógico, no impedirá a los herederos acceder a los datos de carácter patrimonial del causante necesarios para realizar las operaciones sucesorias 420 . 419 Según el art. 9.2 de la LOPJM, “para garantizar que el menor pueda ejercitar este derecho por sí mismo será asistido, en su caso, por intérpretes. El menor podrá expresar su opinión verbalmente o a través de formas no verbales de comunicación. No obstante, cuando ello no sea posible o no convenga al interés del menor se podrá conocer la opinión del menor por medio de sus representantes legales, siempre que no tengan intereses contrapuestos a los suyos, o a través de otras personas que, por su profesión o relación de especial confianza con él, puedan transmitirla objetivamente”. 420 Precisión hecha por PÉREZ VALLEJO, A. Mª/VIVAS TESÓN, I.: La transmisión mortis causa del patrimonio intelectual y digital, Thomson Reuters-Aranzadi, Cizur menor (Navarra), 2022, págs. 216-217. 260 Con anterioridad a dicha Ley, el Informe 61/2008 de la AEPD en relación a la aplicación de las normas de protección de datos a los datos de personas fallecidas, aludía a su anterior informe de 23 de mayo de 2003, el cual teniendo en cuenta la STC 292/2000, de 30 de noviembre 421 , indicaba expresamente en su apartado II que “si el derecho fundamental a la protección de datos ha de ser considerado como el derecho del individuo a decidir sobre la posibilidad de que un tercero pueda conocer y tratar la información que le es propia… es evidente que dicho derecho desaparece por la muerte de las personas, por lo que los tratamientos de datos de personas fallecidas no podrían considerarse comprendidos dentro del ámbito de aplicación de la Ley Orgánica 15/1999”, norma vigente en el momento de emisión del citado Informe y que sólo contemplaba la cancelación de los datos personales del fallecido, por tanto, no el acceso ni la rectificación o supresión como ahora. Como acabamos de señalar, el art. 3.1 de la LOPDGGD permite expresamente que personas vinculadas al fallecido por razón de vínculo familiar o de hecho, así como sus herederos, puedan solicitar el acceso, la rectificación o la supresión de sus datos personales, incluidos, entre ellos, los de salud. Según su apartado 2, el causante podría designar antes de fallecer a personas concretas o instituciones para legitimarlas respecto al acceso de sus datos personales. En su art. 3.3 se ocupa de los casos de fallecimiento de menores (tales facultades podrán ejercerse también por sus representantes legales o, en el marco de sus competencias, por el Ministerio Fiscal, que podrá actuar de oficio o a instancia de cualquier persona física o jurídica interesada) y de personas con discapacidad (tales facultades podrán ejercerse, además de por quienes se contemplan para el caso de menores, por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo prestadas por el designado). “En el ámbito sanitario, es preciso tener en cuenta que puede haber información clínica cuya conservación al principio puede no parecer necesaria, pero al tiempo demuestra su utilidad para otras personas” 422 . 421 RTC 2000, 292. 422 TRONCOSO REIGADA, A.: “La confidencialidad de la historia clínica”, cit., pág. 73. 261 Consciente de ello, el art. 18.4 de la LAP, dispone que “los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros”. Como puede comprobarse, aunque la LAP es anterior en el tiempo respecto de la LOPDGGD y sus respectivos preceptos no son exactamente coincidentes, ambas encajan sin gran dificultad. Se ofrece, pues, la opción de que el causante se oponga a que terceras personas puedan acceder a su HC tras su fallecimiento, si bien existe un desconocimiento generalizado en cuanto a la existencia de dicha posibilidad. Ante la sensibilidad de los datos sanitarios, consideramos que de la misma manera que en vida se pide al paciente el consentimiento informado para la cesión de sus datos de salud, también debería solicitársele su consentimiento expreso en cuanto a si desea o no que, tras su muerte, sus familiares puedan acceder a su HC. Dicho de otro modo, la norma contiene una previsión de carácter dispositivo, pero, a nuestro entender, debería contemplar que se solicitara, de manera preceptiva, su consentimiento expreso (afirmativo o negativo) acerca del acceso post mortem a su HC. Creemos que la singularidad de los datos de salud así lo requiere. A nuestro juicio, por tanto, la prohibición expresa del causante en cuanto al acceso a su HC tras su muerte debería hacerse constar obligatoriamente en la propia HC. Dado que la previsión legal no lo contempla, consideramos que, en la actualidad, dicha prohibición puede constar en la HC del paciente o bien en un documento de voluntades anticipadas o testamento vital. Por otra parte, existe la posibilidad de la persona desconozca en el momento de su muerte que padece una determinada enfermedad o que su 262 fallecimiento le sobrevenga en circunstancias que no desearía que transcendieran. Ha de tenerse en cuenta que la información sanitaria del fallecido no es únicamente la que generó en vida, sino también la específica derivada de su muerte (p. ej. la autopsia médico-legal en caso de muerte no natural). En tales casos es obvio que al titular de los datos sanitarios le será materialmente imposible emitir instrucciones o voluntades explícitas de oposición a que terceras personas accedan a su HC, que, por consiguiente, quedarán legitimadas legalmente para ello. Respecto a la prohibición expresa del causante, nos planteamos si ésta ha de ser respetada en todo caso o debería ceder ante una situación de urgencia vital de una tercera persona debidamente acreditada. Creemos que la solución pasa, necesariamente, por acudir al juicio de ponderación de bienes y valores en conflicto a la vista de las concretas circunstancias que concurran. La legitimación se circunscribe legalmente a las personas vinculadas al fallecido por razones familiares o de hecho según la LAP (la LOPDGGD amplía el número de sujetos legitimados al incluir a los herederos, así como personas o instituciones designadas expresamente para ello por el fallecido y otras en caso de fallecimiento de menores y personas con discapacidad), sin fijar ningún límite de parentesco. Lo más razonable es que se trate del cónyuge o pareja de hecho, ascendientes y descendientes de primer y segundo grado y, de tratarse de un pariente más lejano, debería dilucidarse en vía judicial 423 . Además del amplio e indefinido elenco, no se establece legalmente una prelación entre los legitimados, lo que puede originar problemas en la práctica 424 . En cuanto a los menores de edad, ha de tenerse en cuenta que tras la Ley 8/2021, los representantes legales son los titulares de la patria potestad (sin que 423 Para VIGUERAS PAREDES, P.: “Historia clínica: acceso, disponibilidad y seguridad”, cit., pág. 17, “la lógica parece establecerlo en el cónyuge, ascendientes y descendientes de primer grado, y en supuestos más lejanos, o concurriendo intereses contrapuestos entre familiares remitir a los solicitantes al procedimiento judicial oportuno”. 424 Así lo advierten, PÉREZ VALLEJO, A. Mª/VIVAS TESÓN, I.: La transmisión mortis causa del patrimonio intelectual y digital, cit., pág. 217. 263 sea ya posible su prórroga ni rehabilitación) y, en su caso, el tutor. En cuanto a las personas con discapacidad que precisen de apoyo para el ejercicio de su capacidad jurídica, habrá de estarse al sistema de apoyos (voluntarios, guarda de hecho o notariales) previsto en la Ley 8/2021. En cuanto a si las personas legitimadas han de acreditar un interés legítimo para acceder a la HC del paciente fallecido, el art. 18.4 de la LAP no parece exigirlo, sí, en cambio, para los terceros, al disponer que “en cualquier caso el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes”. La información de la HC del paciente fallecido a la que puede accederse es limitada, prácticamente la misma que la prevista por el art. 18.3 in fine de la LAP para el propio paciente vivo: “no se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros”. El alcance de la limitación del acceso por razón de la intimidad del fallecido puede generar dudas. Al respecto, SÁIZ RAMOS y LARIOS RISCO 425 consideran que si partimos de la naturaleza de la información que habitualmente contienen las HCs, podríamos llegar a la conclusión de que toda ella afecta a la intimidad de la persona, lo que dejaría vacío de contenido el propio art. 18.4. En su opinión, dicha cuestión podría solventarse, por analogía, ciñendo la reserva de información a aquellos datos que el paciente haya sustraído de forma expresa al conocimiento de sus familiares y allegados. 1.5. PÉRDIDA Y ALTERACIÓN DE LA HISTORIA CLÍNICA Como se recordará, el art. 17.1 de la LAP impone a los centros sanitarios la obligación de conservar la documentación clínica en condiciones que 425 SÁIZ RAMOS, M./LARIOS RISCO, D.: “El derecho de acceso a la historia clínica por el paciente propuesta para la reserva de anotaciones subjetivas”, cit., pág. 28. 264 garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. Para GALÁN CORTÉS 426 , “la carencia de la historia clínica priva de un elemento valioso para la prueba de la responsabilidad médica y debe perjudicar a quien le era exigible como deber de colaboración o cooperación en la difícil actividad probatoria y esclarecimiento de los hechos”. De este modo, el extravío de una HC o parte de ella (bien porque se traspapela o destruye, o bien, de ser electrónica, se borra) determina una presunción de culpa de los profesionales que han suministrado la asistencia al paciente, así como del centro sanitario, lo que se traduce en una inversión de la carga de la prueba, como contempla la STC 165/2020, de 16 de noviembre 427 en un caso de responsabilidad patrimonial sanitaria. En concreto, el Constitucional estima la demanda de amparo presentada por vulneración de los derechos fundamentales a la tutela judicial efectiva sin padecer indefensión (art. 24.1 CE) y a un proceso con todas las garantías (art. 24.2 CE), y declara la nulidad de la Sentencia de 29 de mayo de 2018 dictada por el Juzgado de lo Contencioso-Administrativo núm. 11 de Madrid (procedimiento abreviado núm. 482-2017), que desestimó el recurso contencioso-administrativo interpuesto por responsabilidad patrimonial sanitaria derivada de daño moral causado por el fallecimiento del esposo de la recurrente por inadecuada asistencia médica, incluida la desaparición de dos electrocardiogramas solicitados por la esposa e hijos del fallecido y no aportados por la Administración. Precisamente, el extravío de tales documentos clínicos determina la responsabilidad de la Administración, que no actuó correctamente al incumplir su deber legal de custodia de la documentación clínica conforme a los arts. 14.2 426 GALÁN CORTÉS, J. C.: Responsabilidad civil médica, cit., pág. 253. 427 RTC 2020, 165. 265 y 3 y 17.1 de la LAP, provocando a la recurrente indefensión para probar en juicio su pretensión indemnizatoria. El Tribunal Constitucional recuerda la doctrina de la facilidad probatoria cuando la Administración dispone de una prueba sobre la cual el demandante funda su derecho y aquélla se niega sin causa justificada a su entrega con el fin de que pueda surtir efecto en el correspondiente proceso, siendo contrario al derecho a la tutela judicial efectiva imponerle al interesado la consecuencia de la falta de prueba del hecho. Por ello, concluye que se han vulnerado los derechos de la recurrente a la tutela judicial efectiva sin indefensión y al principio de igualdad de armas procesales, faceta del derecho a un proceso con todas las garantías. Advierte SÁNCHEZ GARCÍA 428 , el extravío de la HC carece de relevancia jurídica cuando no guarda relación con la asistencia prestada. Como venimos haciendo a lo largo del presente trabajo, a la HC debe aplicársele, de manera conjunta y complementaria, tanto la legislación sanitaria como la reguladora del derecho a la protección de datos personales. En aplicación de ésta, la Resolución de 16 junio 2020, procedimiento Nº: PS/00443/2019, de la AEPD requería al Servicio Andaluz de Salud (en adelante, SAS) por no disponer de medidas técnicas y organizativas que garantizaran un nivel adecuado de seguridad. En concreto, el reclamante solicitó su HC y le comunicaron que no se la podían facilitar porque se había perdido debido a que había habido mudanzas, resultando acreditado que el SAS no tenía adoptadas 428 SÁNCHEZ GARCÍA, M. Mª: “La responsabilidad patrimonial de la Administración sanitaria derivada del extravío de la historia clínica: la visión de los tribunales de justicia”, en Derecho y salud, vol. 26, nº 2, 2016, pág. 100, para quien “en que resulta esencial anotar en la historia clínica el resultado de las pruebas clínicas realizadas; no siendo suficiente la incorporación de las mismas, ante la eventualidad de que llegado el momento finalmente no aparecieren. Téngase en cuenta que entre la realización de la prueba y el requerimiento judicial de su aportación puede mediar un importante lapso de tiempo”, siendo consciente de que “todo ello exige, sin duda, un esfuerzo adicional por parte de los profesionales sanitarios en el traspaso de datos a la historia clínica electrónica, pero, en compensación, contarán con un medio probatorio privilegiado y excelente de las decisiones médicas adoptadas, que les permitirá subsanar eventuales extravíos o pérdidas y, en definitiva, defender su intervención. Téngase en cuenta que, aunque la actuación médica haya sido respetuosa con la lex artis, el deficiente tratamiento o conservación de la historia clínica puede implicar una condena ante los tribunales si se carece de la prueba documental que permita acreditarlo” (pág. 101). 272 La salud ha evolucionado hacia el significado de un estado de bienestar, materializándose en una solicitud de servicios más personalizada y de mayor calidad. Dicho de otro modo, hay que hacer más con menos recursos. Para ello es preciso aumentar la eficiencia del sistema, racionalizando los servicios, reduciendo costes y aumentando la eficacia y adecuación de la atención. Al servicio de tales objetivos se encuentran las nuevas herramientas tecnológicas, las cuales exigen un cambio organizacional, una redefinición de roles y tareas y nuevas respuestas jurídicas. Nos hallamos, en estos momentos, ante un cambio de paradigma del modelo sanitario en el cual se combina la investigación, la innovación, la ciencia y la tecnología aprovechándose al máximo las enormes ventajas que ofrecen las Tecnologías de Información y Comunicación (en adelante, TICs), el big data, la IA, el IoT y la robótica. El uso de las NNTT en el sector sanitario implica la transmisión, de forma segura, de información y datos personales relativos a la prevención, diagnóstico, tratamiento y seguimiento de los pacientes. A ello debe sumarse que, en relación a los datos de salud, hacemos uso de un gran número de Apps que nos descargamos en nuestros smartphones, tabletas, ordenadores o dispositivos de pulsera para nuestro autocuidado personal y bienestar (deporte, medicina, dietas, diabetes, etc.) para contabilizar los pasos caminados, medir el ritmo cardíaco, contar calorías, calcular el índice de masa muscular, controlar la frecuencia de la menstruación, etc. con la consiguiente exposición continuada de nuestros datos más sensibles. No puede perderse de vista el uso de cookies para fines publicitarios o de marketing para las que prestamos nuestro consentimiento con suma ligereza pulsando “Aceptar cookies” 436 . En nuestro día a día, estamos rodeados de Apps y tecnologías IoT, esto es, agrupación e interconexión de sensores y dispositivos a través de una red en la que todos pueden interaccionar. Uno de los principales riesgos de estos 436 AVIÑÓ BELENGUER, D.: “El uso de cookies de publicidad comportamental desde la óptica de la protección de datos”, en Revista Aranzadi de Derecho y Nuevas Tecnologías, nº 56, 2021, BIB 2021\4091. 273 dispositivos es que recopilan multitud de datos personales: localización del usuario, contactos, identidad del interesado, datos de tarjetas de crédito y de pago, registro de llamadas, fotos, videos o, incluso, datos biométricos como son las huellas dactilares o el reconocimiento facial. Pensemos en las diferentes aplicaciones móviles que, a raíz de la pandemia del Covid-19, han tratado información altamente sensible para nosotros como los datos de salud o la geolocalización dejando de lado los derechos y libertades fundamentales de los ciudadanos. A nuestro entender, dicho tratamiento de datos de salud a través de las NNTT comparte los mismos principios éticos y jurídicos que cuando se realiza en un contexto presencial o físico, pues no existe una alteración de las reglas del juego en cuanto a la tutela de los derechos fundamentales en el marco jurídico aplicable a los mismos. No obstante, es cierto que combinar la protección de datos personales con la digitalización de la salud encierra grandes oportunidades, pero también riesgos, mayores que los que presenta el uso de medios en papel. Baste pensar en la recogida y utilización poco éticas de los datos sobre salud, los sesgos codificados en los algoritmos o la ciberseguridad. En este sentido, SILVESTRE CAMPS 437 afirma que “con esta realidad social y tecnológica, los riesgos para la privacidad del usuario son también múltiples, desde la falta de información y falta de consentimiento del usuario hasta la insuficiente adopción de medidas de seguridad, por no mencionar los distintos riesgos de incumplimiento normativo en los que incurren los desarrolladores de aplicaciones y otros actores que intervienen o participan en el desarrollo de aplicaciones”. Sin dudar de sus bondades para la mejora de la salud, el abordaje de patologías y la prevención de enfermedades, es claro que las NNTT pueden ser una grave amenaza para la protección de los datos de salud de los ciudadanos. 437 SILVESTRE CAMPS, S.: “El tratamiento de datos de salud en apps y en dispositivos (loT)” en Guía práctica en Protección de Datos en el ámbito sanitario. Comentarios doctrinales, Normativa, Cuadros legislativos y comparativos, Esquemas y Formularios, Sepín, Las Rozas (Madrid), 2019, pág. 89. 274 Según recoge MARTÍNEZ NAVARRO 438 , el 97% de los usuarios de smartphones se preocupan de la privacidad de sus datos, pero solo el 52% lee las políticas de privacidad de las aplicaciones móviles. Tras analizar más de 20.000 Apps móviles de salud, todas disponibles en Google Store, un estudio realizado por investigadores del Centro de Ciberseguridad de la Universidad de Macquarie en 2021 y publicado por la British Medical Journal 439 concluyó que 9 de cada 10 recogían datos del usuario que nada tenían que ver con asuntos sanitarios. Según la investigación, dos tercios de las Apps analizadas recogían datos de usuarios que luego se utilizan para mandarles publicidad personalizada, un tercio de las mismas le solicitaba al usuario su dirección de correo electrónico y alrededor de un cuarto podría identificar la torre de telefonía desde la que se había conectado el móvil, permitiendo establecer la localización del usuario. Pese a todo, solo el 4% de dichas Apps transmitía la información recopilada a un tercero. Además, los investigadores descubrieron que solamente el 1,3% de los usuarios de esas apps expresaron su preocupación sobre la privacidad. Antes de la entrada en vigor del RGPD, el Grupo de trabajo del artículo 29 440 advertía en su Dictamen 02/2013, adoptado el 27 de febrero de 2013, que “los desarrolladores de aplicaciones que desconozcan las normas de protección de datos pueden crear riesgos significativos para la vida privada y la reputación de los usuarios de dispositivos inteligentes. Simultáneamente, se van desarrollando rápidamente servicios a terceros como la publicidad, que, si son integrados por un desarrollador de aplicaciones sin la debida atención, puede revelar cantidades significativas de datos personales”. En septiembre de 2019, la AEPD publicó una nota técnica con directrices específicas sobre el deber de informar y otras medidas de responsabilidad proactiva en aplicaciones móviles que monitorizan la actividad física, bienestar y 438 MARTÍNEZ NAVARRO, J. A.: El régimen jurídico de la salud electrónica, cit., pág. 220. 439 Disponible en https://www.bmj.com/content/373/bmj.n1248. (Visita: 05/09/2022). 440 El Dictamen puede consultarse en disponible en https://www.aepd.es/sites/default/files/2019- 12/wp202_es.pdf). (Visita: 05/09/2022). 275 salud con el fin de detectar prácticas lesivas para la privacidad de los usuarios, aportando soluciones o alternativas a los agentes implicados que fomenten el principio de responsabilidad proactiva 441 . En sus conclusiones, cabe destacar que la transparencia en el tratamiento de datos personales por parte de las apps para dispositivos móviles es un aspecto capital para el cumplimiento la normativa de protección de datos, es decir, para la protección de los derechos y libertades de los ciudadanos y, por ello, es necesario un especial cuidado. Para ello, señala la AEPD, hay que subrayar que la información al usuario debe proporcionarse con un lenguaje claro y sencillo, de forma concisa, transparente, inteligible, de fácil acceso y adaptada al interesado o usuario potencial de la aplicación. Es por ello, que se debe tener muy en cuenta el público al cual va dirigida la aplicación para elaborar las cláusulas informativas de la política de privacidad. Ciertos sensores y almacenes de datos del terminal móvil son una fuente potencial de datos personales a las que pueden acceder las aplicaciones o bibliotecas de terceros incluidas en las aplicaciones. El sistema operativo del dispositivo móvil protege los accesos a estos recursos a través de permisos con diferentes niveles de protección. Si bien el dispositivo muestra al usuario una notificación solicitando su autorización para acceder a dichos recursos, en muchos casos, la información mostrada no es suficiente en el contexto del RGPD, ni la granularidad del permiso se precisa de forma correcta, ya que, entre otra información, debe incluir la finalidad del tratamiento de esos datos. La necesidad de acceder a dichos recursos debe informarse apropiadamente en la política de privacidad de la aplicación, para que el usuario pueda decidir la conveniencia o no de otorgar autorización a la aplicación para acceder a dichos recursos. 441 Puede consultarse en https://www.aepd.es/sites/default/files/2019-11/nota-tecnica-apps- moviles.pdf. (Visita: 05/09/2022). 276 Tanto el Parlamento europeo 442 como la Comisión 443 han mostrado su preocupación por la protección de datos personales en el entorno de las aplicaciones móviles de salud (programas informáticos descargables con acceso directo desde un dispositivo móvil diseñadas, para ofrecer ayuda a las personas en su propia gestión de la salud y bienestar, y a los proveedores de atención médica para mejorar y facilitar la atención al paciente; a los investigadores y autoridades públicas para la gestión y prevención de enfermedades) y dispositivos de la salud móvil o mHealth (definida por la OMS como “la práctica de la medicina y la salud pública soportada por dispositivos móviles como teléfonos, dispositivos de monitorización de pacientes, asistentes digitales y otros dispositivos inalámbricos”) que permiten el registro y la monitorización continua de los parámetros de la salud fuera de las consultas médicas. Por su parte, la OMS publicó en junio de 2021 el primer informe mundial sobre IA aplicada a la salud titulado Ethics and governance of artificial intelligence for health (ética y gobernanza de la inteligencia artificial en el ámbito de la salud) 444 , en el que indica que la IA ofrece grandes expectativas para mejorar la prestación de atención de salud y la medicina en todo el mundo, siempre y cuando la ética y los derechos humanos ocupen un lugar central en su concepción, despliegue y utilización. A fin de limitar los riesgos y aumentar al máximo las oportunidades que conlleva la utilización de la IA en el ámbito de la salud, la OMS propone que la reglamentación y gobernanza de la IA se basen en los principios siguientes: − Preservar la autonomía del ser humano: en el contexto de la atención de salud, ello significa que los seres humanos deberían seguir siendo dueños de los sistemas de atención de salud y las decisiones médicas; se debería preservar la privacidad y la confidencialidad, y los pacientes deben dar su 442 https://www.europarl.europa.eu/news/es/headlines/society/20200429STO78174/appscontra-el-covid-19-como-garantizar-la-privacidad-y-el-uso-transfronterizo. (Visita: 05/09/2022). 443 Coronavirus: directrices para garantizar unas normas de plena protección de los datos en las aplicaciones para luchar contra la pandemia, publicadas el 16 de abril de 2020 y disponibles en https://ec.europa.eu/commission/presscorner/detail/es/ip_20_669. (Visita: 05/09/2022). 444 https://www.who.int/es/news/item/28-06-2021-who-issues-first-global-report-on-ai-in-health- and-six-guiding-principles-for-its-design-and-use. (Visita: 05/09/2022). 277 consentimiento informado y válido por medio de marcos jurídicos adecuados para la protección de datos. − Promover el bienestar y la seguridad de las personas y el interés público. Los diseñadores de tecnologías de IA deberían cumplir los requisitos normativos en materia de seguridad, precisión y eficacia para indicaciones o usos bien definidos. Se deben instaurar medidas de control de la calidad en la práctica y de mejora de la calidad en la utilización de la IA. − Garantizar la transparencia, la claridad y la inteligibilidad. La transparencia exige que se publique o documente información suficiente antes de la concepción o el despliegue de una tecnología de IA. Esa información debe ser fácilmente accesible y facilitar consultas y debates provechosos sobre la concepción de la tecnología y sobre el uso que se debería hacer o no de esta. − Promover la responsabilidad y la rendición de cuentas. Las tecnologías de IA permiten realizar tareas específicas; ahora bien, incumbe a las partes interesadas velar por que estas sean utilizadas en condiciones apropiadas y por personas debidamente formadas. Se deberían instaurar mecanismos eficaces para que las personas y los grupos que se vean perjudicados por decisiones basadas en algoritmos puedan cuestionarlas y obtener reparación. − Garantizar la inclusividad y la equidad. La inclusividad requiere que la IA aplicada a la salud sea concebida de manera que aliente la utilización y el acceso equitativos en la mayor medida de lo posible, con independencia de la edad, el sexo, el género, el ingreso, la raza, el origen étnico, la orientación sexual, la capacidad u otras características amparadas por los códigos de derechos humanos. − Promover una IA con capacidad de respuesta y sostenible. Los diseñadores, desarrolladores y usuarios deberían evaluar de forma continua y transparente las aplicaciones de la IA en situación real a fin de determinar si esta responde de manera adecuada y apropiada a las expectativas y las necesidades. Los sistemas de IA también se deberían concebir de modo que se reduzcan al mínimo sus efectos medioambientales y se aumente la eficiencia energética. Los gobiernos y las empresas deberían anticipar las perturbaciones ocasionadas en el lugar de trabajo, en particular la formación que se deberá impartir a los agentes de salud para que se familiaricen con el uso de los sistemas de 278 IA, y las posibles pérdidas de empleos debidas a la utilización de sistemas automatizados. Una cuestión jurídica de interés es la relativa la responsabilidad derivada de los sensores y las de salud digital o móvil por daños derivados de fallos en el almacenamiento de datos, dispositivos defectuosos, negligencias médicas por diagnósticos erróneos, etc. El art. 2.1 del Real Decreto Real Decreto 1591/2009, de 16 de octubre, por el que se regulan los productos sanitarios (norma que traspuso a nuestro ordenamiento la Directiva 93/42/CEE del Consejo, de 14 de junio de 1993, relativa a los productos sanitarios) define producto sanitario como “cualquier instrumento, dispositivo, equipo, programa informático, material u otro artículo, utilizado solo o en combinación, incluidos los programas informáticos destinados por su fabricante a finalidades específicas de diagnóstico y/o terapia y que intervengan en su buen funcionamiento, destinado por el fabricante a ser utilizado en seres humanos con fines de: 1.º Diagnóstico, prevención, control, tratamiento o alivio de una enfermedad; 2.º diagnóstico, control, tratamiento, alivio o compensación de una lesión o de una deficiencia; 3.º investigación, sustitución o modificación de la anatomía o de un proceso fisiológico; 4.º regulación de la concepción, y que no ejerza la acción principal que se desee obtener en el interior o en la superficie del cuerpo humano por medios farmacológicos, inmunológicos ni metabólicos, pero a cuya función puedan contribuir tales medios”. 279 Por su parte, el Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo de 5 de abril, sobre los productos sanitarios 445 , define producto sanitario en su art. 2.1 como “todo instrumento, dispositivo, equipo, programa informático, implante, reactivo, material u otro artículo destinado por el fabricante a ser utilizado en personas, por separado o en combinación, con alguno de los siguientes fines médicos específicos: — diagnóstico, prevención, seguimiento, predicción, pronóstico, tratamiento o alivio de una enfermedad, — diagnóstico, seguimiento, tratamiento, alivio o compensación de una lesión o de una discapacidad, — investigación, sustitución o modificación de la anatomía o de un proceso o estado fisiológico o patológico, — obtención de información mediante el examen in vitro de muestras procedentes del cuerpo humano, incluyendo donaciones de órganos, sangre y tejidos, y que no ejerce su acción principal prevista en el interior o en la superficie del cuerpo humano por mecanismos farmacológicos, inmunológicos ni metabólicos, pero a cuya función puedan contribuir tales mecanismos”. En opinión de MARTÍNEZ NAVARRO 446 la naturaleza del elemento en cuestión no lo eleva, por sí sola, a la categoría de producto sanitario pues “el factor relevante para considerar un elemento como producto sanitario son las funciones que realiza. De este modo, cualquier elemento que realice funciones de diagnóstico, prevención, tratamiento, alivio de enfermedad, etcétera, debe ser considerado como producto sanitario”. Siendo ello así, podemos afirmar, en términos generales, que las Apps, dispositivos y sistemas de IA utilizadas en el entorno clínico o con fines relacionaos con la salud han de considerarse productos sanitarios y, por 445 Su entrada en vigor estaba inicialmente prevista para el 26 de mayo de 2020 (art. 123.2) pero, por motivo de la crisis de la Covid-19, el Reglamento 2020/561, por el que se modifica el Reglamento (UE) 2017/745 sobre los productos sanitarios en relación con las fechas de aplicación de algunas de sus disposiciones, la retrasó al 26 de mayo de 2021. 446 MARTÍNEZ NAVARRO, J. A.: El régimen jurídico de la salud electrónica, cit., págs. 217 y 218. 280 consiguiente, quedan sujetos a esta regulación sectorial, si bien no todos lo serán. Como señalan LAZCOZ MORATINOS y PERIN 447 , con carácter general, podemos considerar que los sistemas de IA de soporte a la toma de decisiones clínicas -para diagnóstico, prevención, seguimiento, prognosis o tratamiento-, han de ser calificados como productos sanitarios y, por ende, les son de aplicación las disposiciones del Reglamento (UE) 2017/745. Ahora bien, no todos aquellos sistemas informáticos que rodean a la asistencia sanitaria van a ser considerados productos sanitarios. Por ejemplo, un sistema de procesamiento de lenguaje natural (NLP) basado en aprendizaje profundo para automatizar la recogida de la HC, quedaría fuera de la calificación de producto sanitario, al igual que los procesadores de texto actuales en los que se recoge de forma manual por las médicas de atención primaria. También se situarían al margen de la regulación del Reglamento (UE) 2017/745 los sistemas hospitalarios de información, como un sistema automatizado para establecer las citas de consultas externas, salvo que alguno de los módulos de estos sistemas cumpla con un fin médico específico, en cuyo caso dicho módulo sería calificado como producto sanitario. En opinión de estos autores, una de las críticas realizadas a este sistema de calificación es que el riesgo de daños a pacientes, relacionado con el uso de programas informáticos dentro de la asistencia sanitaria, incluido un posible mal funcionamiento de los mismos, no es un criterio para determinar si dicho programa reúne o no los requisitos para ser calificado como dispositivo médico conforme al Reglamento (UE) 2017/745. En relación a la protección de datos personales, debe tenerse en cuenta que, en virtud de uno de los principios rectores del tratamiento de los mismos que ya tuvimos ocasión de examinar, el de transparencia, la elaboración de perfiles 448 y la toma de decisiones individuales automatizadas está prohibida, con 447 LAZCOZ MORATINOS/PERIN, A.: “Lección 20. Inteligencia artificial en el ámbito sanitario”, en Manual de Bioderecho, NICOLÁS JIMÉNEZ y ROMEO MALANDA (coords.) y ROMEO CASABONA (dir.), Dykinson, Madrid, 2022, pág. 529. 448 Según el art. 4.4) del RGPD, elaboración de perfiles es “toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar 281 carácter general, por el art. 22 del RGPD, que, en su apartado 2, contempla supuestos excepcionales en las que pueden adoptar si la decisión es: a) es necesaria para la celebración o la ejecución de un contrato, b) está autorizada por el Derecho de la Unión o de los Estados miembros y c) se basa en el consentimiento explícito del interesado. En relación a la elaboración de perfiles consistentes en la realización de una inferencia sobre el estado de salud de un paciente a partir de un sistema de IA, pudiendo consistir aquélla en un diagnóstico (paciente padece neumonía) o en un pronóstico (paciente con un alto riesgo de fallecimiento), el principio de transparencia del RGPD exige que se informe de que el tratamiento tiene fines tanto de elaboración de perfiles en sí, como de adopción de una decisión sobre la base del perfil generado, de modo que la norma comunitaria impide que puedan realizarse inferencias algorítmicas sobre los pacientes sin que tengan conocimiento de ello 449 . Consciente de los riesgos del uso de las NNTT aplicadas a la salud en cuanto a la tutela del derecho de la autodeterminación informativa del ciudadano, BASTIDAS CID 450 considera fundamental difundir el cumplimiento de los principios y buenas prácticas en materia de protección de datos personales, como una forma de concienciar a desarrolladores de Apps de salud sobre la importancia de cumplir con la normativa recogida en el RGPD y que, complementada con algunas directrices de las autoridades competentes a nivel de la Unión Europea, se erige como un estándar mínimo de cumplimiento y resguardo de este derecho fundamental. determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física”. 449 LAZCOZ MORATINOS/PERIN, A.: “Lección 20. Inteligencia artificial en el ámbito sanitario”, cit., pág. 536. 450 BASTIDAS CID, Y. V.: “Pandemia, apps móviles de salud y protección de datos personales. Principios y buenas prácticas a la luz del reglamento general de protección de datos de la Unión Europea”, en Informática y Derecho: Revista Iberoamericana de Derecho Informático, nº 9, 2020, pág. 99. 288 tratamiento tanto en el entorno clínico por quienes ejercen una profesión sanitaria, por entidades de salud y por el personal de gestión y administración autorizado, como por personas legitimadas extra sanitarios, privados o públicos, así como el educativo, el laboral o el de la contratación entre particulares (seguros, tatuajes, gimnasios, piscinas, depilación láser, etc.), en los que la cesión de tales datos resulta imprescindible. En ellos resulta esencial el cumplimiento de la normativa relativa a la protección de datos personales y erradicar prácticas discriminatorias de la persona por su enfermedad, condición de salud o predisposición genética. 12. La protección de los datos de salud tiene su máxima expresión en la HC del paciente. Su confidencialidad es un aspecto clave de la relación médicopaciente, pues conlleva la confianza de este último de que la información que facilita y que va a incorporarse a su HC quedará preservada. 13. La HC presenta, claramente, dos perspectivas, de modo que se halla sometida a dos modelos regulatorios distintos: de un lado, las normas relativas a la protección de datos personales y, de otro, las sanitarias (estatales o autonómicas). Fundamentalmente, las dos normas aplicables son: de un lado, la LOPDGDD (ley general) y la LAP (ley especial). 14. Las implicaciones jurídicas de la HC son numerosas, pues en ella están involucrados los derechos de los pacientes, algunos fundamentales como la intimidad o el de protección de datos personales, así como las obligaciones de los profesionales del ámbito sanitario. Además, la HC puede ser utilizada con distintas finalidades, siendo la principal la asistencial, pero la única. 15. La HC no es sólo un mero instrumento de trabajo del facultativo, sino un documento de extraordinaria importancia al que tienen derecho a acceder el paciente (titular de los datos que en ella se contiene) y otras personas legalmente legitimadas (familiares, jueces, etc.), además de ser una prueba documental singularmente importante cuando el paciente pretende hacer valer sus derechos en un proceso de responsabilidad médica. 289 16. El contenido de la HC está mínimamente delimitado y del mismo son responsables los profesionales que participen en la inclusión de datos que, de una u otra manera, terminen conformando la HC personal del paciente. Su contenido debe responder, escrupulosamente, al principio de minimización de datos. 17. Los accesos y usos indebidos a las HCs son los supuestos más controvertidos en materia de protección de los datos de salud a la vista de los numerosos casos judicializados. El mero acceso no autorizado a la HC ya supone una actuación ilícita con las correspondientes consecuencias que ello conlleva para quien accede sin estar legitimado, además de constituir un daño para el titular de la información. El interesado mayor de edad puede acceder a su HC por sí mismo o a través de representante. La persona con discapacidad tiene capacidad jurídica para ejercitar por sí misma sus derechos, también en el ámbito sanitario, sin apoyos o, en su caso, con los apoyos que precise en función de sus necesidades concretas, lo que es importante subrayar dado que la LAP no ha sido modificada por la Ley 8/2021. En aras de la seguridad jurídica, creemos que las disposiciones de la LAP relativas al consentimiento informado deberían ser objeto de reforma. No se trata de un cambio terminológico sino de esencia. ·el paciente tiene acceso a toda su HC, salvo las limitaciones establecidas en el art. 18.3 de la LAP, las cuales, como tales cortapisas de un derecho que son, deben ser interpretadas restrictivamente. No existe un derecho de reserva del profesional sanitario sobre las anotaciones subjetivas que incluya en la HC de su paciente. El derecho a acceder y conocer la HC del hijo menor de edad por parte de los titulares de la patria potestad cuando éste se opone a ello, es una cuestión jurídica, a nuestro entender, no resuelta jurídicamente aún de manera satisfactoria. La regulación tanto por parte de la LOPDGDD como por la de la LAP del acceso a la HC de persona fallecida generan ciertas dudas, puesto que el elenco de legitimados vinculados al fallecido por razones familiares o de hecho, carecen de límites legales de parentesco y, además, tampoco se establece ningún orden de prelación entre ellos. 18. La pérdida o alteración de la HC puede determinar responsabilidades de diversa índole, si bien los más frecuentes son los de extravío por no adoptar medidas 290 técnicas y organizativas que garanticen un nivel de seguridad adecuado capaz de asegurar la confidencialidad, integridad y disponibilidad de los datos evitando la pérdida de la documentación clínica, o bien, los de comisión de un delito de falsedad documental por alterar datos de una HC en defensa de una reclamación judicial por mala praxis profesional. 19. El documento de voluntades anticipadas es un documento en el cual la persona deja constancia escrita de sus deseos y preferencias acerca de actuaciones sanitarias que pueden afectarle en el futuro en el supuesto de que en dicho momento concurran circunstancias que le impidan expresar su voluntad, documento que ha de incorporarse a la HC del paciente. Su inscripción registral implica su incorporación a un fichero automatizado de datos que garantiza la confidencialidad de la información registrada, de modo que ha de asegurarse la confidencialidad y el respeto de la legislación de protección de datos personales, con el objetivo de dotar de efectividad a las declaraciones de voluntad vital anticipada, facilitando su acceso por los centros sanitarios. 20. Nos hallamos, en estos momentos, ante un cambio de paradigma del modelo sanitario en el cual se combina la investigación, la innovación, la ciencia y la tecnología aprovechándose al máximo las enormes ventajas que ofrecen las TICs, el big data, la IA, el IoT y la robótica. El uso de las NNTT en el sector sanitario implica la transmisión, de forma segura, de información y datos personales relativos a la prevención, diagnóstico, tratamiento y seguimiento de los pacientes. En este escenario tecnológico de Apps, dispositivos mHealth, algoritmos predictivos, etc., deben crearse infraestructuras técnicas y tecnológicas adecuadas y eficaces para garantizar el derecho fundamental a la protección de los datos de salud, así como fomentar la cultura de la confidencialidad y transparencia en el tratamiento de datos tan sensibles, el cual debe ceñirse a la legislación vigente, siendo ésta dispersa e incompleta, por lo que abogamos por una regulación ad hoc de los datos personales de salud. Dicha reglamentación específica acerca del tratamiento de los datos de salud, de un lado, debe poner al centro a la persona y, de otro, ser capaz de generar confianza, base esencial tanto de la relación médico-paciente como del avance tecnológico, científico y económico. 291 ANEXO LEGISLATIVO NORMATIVA INTERNACIONAL − Declaración Universal de los Derechos Humanos. Adoptada y proclamada por la Resolución de la Asamblea General 217 A (iii) del 10 de diciembre de 1948 − Pacto Internacional de Derechos Civiles y Políticos. Adoptado y abierto a la firma, ratificación y adhesión por la Asamblea General en su resolución 2200 A (XXI) de 16 de diciembre de 1966 − Pacto Internacional de Derechos Económicos, Sociales y Culturales. Adoptado y abierto a la firma, ratificación y adhesión por la Asamblea General en su resolución 2200 A (XXI) de 16 de diciembre de 1966 − Carta de Ottawa. Primera Conferencia Internacional sobre la promoción de la Salud, 1986 − Declaración de Responsabilidades y Deberes Humanos, 1988 − Convenio para la protección de los derechos humanos y la dignidad del ser humano con respecto a las aplicaciones de la Biología y la Medicina (Convenio relativo a los derechos humanos y la biomedicina), hecho en Oviedo el 4 de abril de 1997 − Declaración Universal de Derechos Humanos Emergentes, 2004 − Constitución de la Organización Mundial de la Salud, Documentos básicos, suplemento de la 45ª edición, octubre 2006 − Resolución 38/18. La contribución del Consejo de Derechos Humanos a la prevención de las violaciones de los Derechos Humanos de 6 de julio de 2018 NORMATIVA DE LA UE − Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales de 4 de noviembre de 1950 292 − Convenio Europeo para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981 − Tratado de la Unión Europea, 1992 − Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos − Tratado de Ámsterdam, 1997 − Carta de los Derechos Fundamentales de la Unión Europea, 2000 − Tratado de Funcionamiento de la Unión Europea, 2007 − Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones de 2 de julio de 2008 − Directiva 2010/53/UE del Parlamento Europeo y del Consejo, de 7 de julio de 2010, sobre normas de calidad y seguridad de los órganos humanos destinados al trasplante − Directiva 2011/24/UE del Parlamento Europeo y del Consejo, de 9 de marzo de 2011, relativa a la aplicación de los derechos de los pacientes en la asistencia sanitaria transfronteriza − Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE − Reglamento (UE) 2016/679 del Parlamento y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos y por el que se deroga la Directiva 95/46/CE − Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo de 5 de abril de 2017, sobre los productos sanitarios, por el que se modifican la Directiva 2001/83/CE, el Reglamento (CE) nº. 178/2002 y el Reglamento (CE nº. 1223/2009 y por el que se derogan las Directivas 90/385/CEE y 93/42/CEE del Consejo 293 − Comunicación de la Comisión al Parlamento europeo, al Consejo, al Comité económico y social europeo y al Comité de las Regiones, de 25 de abril de 2018, relativa a la consecución de la transformación digital de la sanidad y los servicios asistenciales en el Mercado Único Digital, la capacitación de los ciudadanos y la creación de una sociedad más saludable − Recomendación de la Comisión sobre un formato de intercambio de historiales médicos electrónicos de ámbito europeo de 6 de febrero de 2019 − Directiva 2019/1024 del Parlamento Europeo y del Consejo de 20 de junio de 2019 relativa a los datos abiertos y la reutilización de la información del sector público − Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo de 30 de mayo de 2022 relativo a la gobernanza europea de datos y por el que se modifica el Reglamento (UE) 2018/1724 (Reglamento de Gobernanza de Datos), de 2 de octubre de 2018 relativo a la creación de una pasarela digital única de acceso a información, procedimientos y servicios de asistencia y resolución de problemas y por el que se modifica el Reglamento NORMATIVA ESTATAL − Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil − Constitución Española de 1978 − Ley 30/1979, de 27 de octubre, sobre extracción y trasplante de órganos − Ley 50/1980, de 8 de octubre de contrato de seguro − Ley 11/1981, de 13 de mayo, de modificación del Código Civil en materia de filiación, patria potestad y régimen económico del matrimonio. − Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen − Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General 294 − Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad − Ley 14/1986, de 25 de abril, General de Sanidad − Ley Orgánica 5/1992 de Regulación del tratamiento automatizado de los datos de Carácter Personal − Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos − Real Decreto 849/1993, de 4 de junio, por el que se determina las prestaciones mínimas del Seguro Obligatorio Deportivo − Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales − Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal − Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor, de modificación parcial del Código Civil y de la Ley de Enjuiciamiento Civil − Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos − Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal − Instrucción 1/2000, de 1 de diciembre, de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos − Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica − Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud − Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias − Ley 59/2003, de 19 de diciembre, de firma electrónica − Ley Orgánica 1/2004, de 28 de diciembre, de Medidas de Protección Integral contra la Violencia de Género 295 − Ley 28/2005, de 26 de diciembre de medidas sanitarias frente al tabaquismo y reguladora de la venta, el suministro, el consumo y la publicidad de los productos de tabaco. − Ley 14/2006, de 26 de mayo, sobre Técnicas de Reproducción Humana Asistida − Ley 44/2006, de 24 de diciembre, de mejora de la protección de los consumidores y usuarios. − Ley Orgánica de Igualdad 3/2007, de 22 de marzo − Ley 3/2007, de 15 de marzo, reguladora de la rectificación registral de la mención relativa al sexo de las personas. − Ley 14/2007, de 3 de julio, de Investigación Biomédica − Ley Orgánica 10/2007, de 8 de octubre, reguladora de la base de datos policial sobre identificadores obtenidos a partir del ADN − Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias − Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal − Ley 54/2007, de 28 de diciembre, de Adopción Internacional − Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica − Ley Orgánica 2/2010, de 3 de marzo, de salud sexual y reproductiva y de la interrupción voluntaria del embarazo − Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación − Ley 26/2011, de 1 de agosto, de adaptación normativa a la Convención Internacional sobre los Derechos de las Personas con Discapacidad. − Ley 29/2011, de 22 de septiembre, de Reconocimiento y Protección Integral a las Víctimas del Terrorismo − Ley 33/2011, de 4 de octubre, General de Salud Pública − Real Decreto 1723/2012, de 28 de diciembre, por el que se regulan las actividades de obtención, utilización clínica y coordinación territorial de los 296 órganos humanos destinados al trasplante y se establecen requisitos de calidad y seguridad − Ley Orgánica 3/2013, de 20 de junio, de protección de la salud del deportista y lucha contra el dopaje en la actividad deportiva − Real Decreto Legislativo 1/2013 de 29 de noviembre, por el que se aprueba el texto refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social − Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno − Ley 5/2014, de 4 de abril, de Seguridad Privada − Ley 9/2014, de 9 de mayo, General de Telecomunicaciones − Ley Orgánica 4/2015, de 30 de marzo, de Protección de Seguridad Ciudadana − Ley 15/2015, de 2 de julio, de la Jurisdicción Voluntaria − Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras − Ley Orgánica 8/2015, de 22 de julio, de modificación del sistema de protección a la infancia y a la adolescencia − Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios − Ley 26/2015, de 28 de julio, de modificación del sistema de protección a la infancia y a la adolescencia − Ley Orgánica 11/2015, de 21 de septiembre, para reforzar la protección de las menores y mujeres con capacidad modificada judicialmente en la interrupción voluntaria del embarazo − Real Decreto 1090/2015, de 4 de diciembre, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos − Orden SSI/81/2017, de 19 de enero, por la que se publica el Acuerdo de la Comisión de Recursos Humanos del Sistema Nacional de Salud 297 − Real Decreto-Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos − Ley Orgánica 2/2018, de 5 de diciembre, para la modificación de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General para garantizar el derecho de sufragio de todas las personas con discapacidad − Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los Derechos Digitales − Orden de 14 de julio de 2020, sobre el uso de la mascarilla y otras medidas de prevención en materia de salud pública para hacer frente al coronavirus (COVID-19) y por la que se modifica la Orden de 19 de junio de 2020 − Instrucción 43/2020, de 24 de julio, de la Subsecretaría de Defensa, por la que se establece el Sistema de Respuesta Temprana ante el COVID- 19, en situación de nueva normalidad − Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza − Ley 8/2021, de 2 de junio, por la que se reforma la legislación civil y procesal para el apoyo a las personas con discapacidad en el ejercicio de su capacidad jurídica − Ley 6/2022, de 31 de marzo, de modificación del Texto Refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social, aprobado por el Real Decreto Legislativo 1/2013, de 29 de noviembre, para establecer y regular la accesibilidad cognitiva y sus condiciones de exigencia y aplicación − Ley 15/2022, de 12 de julio, integral para la igualdad de trato y la no discriminación − Ley Orgánica 6/2022, de 12 de julio, complementaria de la Ley 15/2022, de 12 de julio, integral para la igualdad de trato y la no discriminación, de modificación de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal − Anteproyecto de Ley por la que se crea la Agencia Estatal de Salud Pública (Ministerio de Sanidad, 31 de agosto de 2022) 304 AVIÑÓ BELENGUER, D.: “El uso de cookies de publicidad comportamental desde la óptica de la protección de datos”, en Revista Aranzadi de Derecho y Nuevas Tecnologías, núm. 56, 2021, BIB 2021\4091. AYLLÓN SANTIAGO, H. S./FERNÁNDEZ GONZÁLEZ, C. M.: Tratamiento de datos de carácter personal en el ámbito policial, Reus, Madrid, 2021. BARCELÓ DOMÉNECH, J.: “Régimen jurídico de las vacunas en España: reflexiones ante la situación creada por el coronavirus”, en Revista Jurídica Iberoamericana, nº 12 bis, 2020, págs. 118-125. BARCELÓ DOMÉNECH, J.: “La responsabilidad civil de los padres por no vacunación de sus hijos menores: supuestos posibles para una acción de indemnización”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, págs. 507-536. BASTIDAS CID, Y. V.: “Pandemia, apps móviles de salud y protección de datos personales. Principios y buenas prácticas a la luz del reglamento general de protección de datos de la Unión Europea”, en Informática y Derecho: Revista Iberoamericana de Derecho Informático, nº 9, 2020, págs. 93-106. BELLO JANEIRO, D.: “La protección de datos de carácter personal en el Derecho comunitario”, en Anuario da Facultade de Dereito da Universidade da Coruña, nº 5, 2001, págs. 133-156. BELTRÁN AGUIRRE, J. L.: “Coordinación general sanitaria”, en Derecho y Salud, vol. 15, nº extra 2, 2007, págs. 5-10. BELTRÁN AGUIRRE, J. L.: “Reglamento general de protección de datos: novedades. Adaptación de la normativa española: El proyecto de LOPD”, en Derecho y Salud, vol. 28, nº extra 1, 2018, págs. 74-96. 305 BELTRÁN AGUIRRE, J. L.: “Vacunación obligatoria: fundamento y régimen jurídico”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, págs. 223-258. BERROCAL LANZAROT, A. I.: Estudio jurídico-crítico sobre la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales. Análisis conjunto del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y de la Ley Orgánica 3/2018 de 5 de diciembre, Reus, Madrid, 2019. BOLÍVAR OÑORO, M./RAMIRO AVILÉS, M. A.: “La contratación de seguros no obligatorios por personas con el VIH”, 2016, disponible en https://www.cesida.org/wpcontent/uploads/2013/09/ClinicaLegal_MA_RamiroyM_Bolivar_VIHySeguros.pd f BOLÍVAR OÑORO, M/RAMIRO AVILÉS, M. A.: “Barreras en la contratación de seguros por razón de SARS-COV-2 o Covid-19”, en Revista española de seguros, nº 183-184, 2020, págs. 561-574. BOMBILLAR SÁENZ, F. M./PÉREZ MIRAS, A.: “El derecho a la protección de la salud desde perspectiva multinivel y de Derecho comparado”, en Revista Europea de Derechos Fundamentales, primer semestre, 2015, págs. 299-331. BOTELLO HERMOSA, P. I.: “La responsabilidad civil extracontractual de los daños originados por robots a terceros: ¿Por qué no una Ley española sobre el régimen jurídico de la tenencia y uso de robots?”, en Nuevas tecnologías y responsabilidad civil, BELLO JANEIRO (coord.), Reus, Madrid, 2020, págs. 301- 324. BOTELLO HERMOSA, P. I.: “El posible régimen de responsabilidad civil objetiva de las residencias privadas de mayores en los contagios de Covid-19 entre sus residentes vulnerables”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, págs. 537-569. 306 CADENAS OSUNA, D.: El consentimiento informado y la responsabilidad médica, Agencia Estatal del Boletín Oficial del Estado, Madrid, 2018. CALZADILLA MEDINA, M. A.: “Lo que la patria potestad no ampara”, en Revista de Derecho de Familia, nº. 74/2017, BIB 2017\10738. CANTERO MARTÍNEZ, J.: “La configuración legal y jurisprudencial del derecho constitucional a la protección de la salud”, en Revista vasca de Administración pública, núm. 80, 2008, págs. 15-53. CARAL PURRIÑOS, N.: “Inteligencia Artificial. El uso de los datos de los pacientes”, en Derecho y Salud, vol. 31, nº extra 1, 2021, págs. 86-91. CÁRCAR BENITO, J. E.: “La inteligencia artificial (IA). Aplicación jurídica y regulación en los servicios de salud”, en Derecho y Salud, vol. 29, nº extra 1, 2019, págs. 265-277. CARRILLO, M.: “Los ámbitos del derecho a la intimidad en la sociedad de la comunicación”, en El derecho a la privacidad en un nuevo entorno tecnológico: XX Jornadas de la Asociación de Letrados del Tribunal Constitucional, 2016, págs. 11-70. CASANOVA ASENSIO, A. S.: “Mecanismos de prevención del acceso indebido a la Historia Clínica por parte del personal sanitario y nueva legislación de protección de datos”, en Revista del Centro de Estudios en Bioderecho, Ética y Salud, Universidad de Murcia, 2018, nº. 7, págs. 1-20. CASANOVA ASENSIO, A. S.: “El tratamiento de los datos personales en el marco de las enfermedades infecciosas”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, págs. 259-292. CAVAS MARTÍNEZ, F.: “Vigilancia de la salud y tutela de la intimidad del trabajador”, en Revista Doctrinal Aranzadi Social, nº. 19/2004, BIB 2005\3. 307 CESANO. J. D.: La responsabilidad penal médica. Mala praxis. Aspectos sustantivos y procesales, Editorial B. de F., Buenos Aires, 2018. CONAL, I.: “Análisis doctrinal y jurisprudencial de los delitos de descubrimiento y revelación de secretos en el ámbito sanitario”, en Revista de Derecho y Genoma humano, nº extra 1, 2019, págs. 569-598. DE ASÍS ROIG, R.: Una mirada a la robótica desde los derechos humanos, Dykinson, Madrid, 2015. DE LA CUEVA ALEU, I.: “El derecho constitucional a la protección de la salud: jurisprudencia constitucional”, en Cuadernos de Derecho judicial, nº. 5, 2005, págs. 13-80. DE LA FUENTE NÚÑEZ DE CASTRO, Mª. S.: “La maternidad subrogada en España: ¿coherencia entre la jurisprudencia civil y laboral?”, en Revista Internacional de Doctrina y Jurisprudencia, nº 17, 2017, págs. 1-49. DE LA FUENTE NÚÑEZ DE CASTRO, Mª. S.: “La responsabilidad civil del médico en el ámbito de la cirugía estética o plástica”, en Daños, responsabilidad civil y seguros: desafíos actuales del Derecho español y comparado, VIVAS TESÓN, (coord.) y BOTELLO HERMOSA (ed.), Tecnos, Madrid, 2021, págs. 81- 100. DE LORENZO Y MONTERO, R.: Derechos y obligaciones de los pacientes. Análisis de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, Colex, A Coruña, 2019. DEL REY GUANTER, S.: “El derecho a la protección de la salud: notas sobre su entramado constitucional”, en Derechos y libertades, nº. 6, 1998, págs. 161-168. DELGADO RICÓN, L. E.: El derecho a la asistencia sanitaria de los extranjeros: limitaciones y problemas competenciales, Tirant lo Blanch, Valencia, 2019. 308 DE MONTALVO JÄÄSKELÄINEN, F.: “Reflexiones acerca de la oportunidad (necesidad) de transformar el derecho a la protección de la salud en un verdadero derecho fundamental con ocasión de la celebración del cuadragésimo aniversario de la Constitución”, en Derecho y Salud, vol. 28, nº 1, 2018, págs. 41- 62. DÍAZ ROMERO, M. R.: Autonomía de la voluntad y contrato de gestación subrogada: Efectos jurídicos. La gestación por sustitución en el ordenamiento jurídico español, Aranzadi, Cizur menor (Navarra), 2018. DOPAZO FRAGUÍO, P.: “La protección de datos en el Derecho europeo: principales aportaciones doctrinales y marco regulatorio vigente (Novedades del Reglamento General de Protección de Datos)”, en Revista española de Derecho europeo, nº 68, 2018, págs. 113-148. ELIZARI URTASUN, L.: “Reconsideración de la vacunación de adultos vulnerables: de la vacunación forzosa al consentimiento informado con apoyos”, en La protección de la salud frente al riesgo de contagio, ARCOS (dir.) y ELIZARI (coord.), Bosch, Barcelona, 2022, págs. 347-387. ESCOBAR ROCA, G.: “El derecho a la protección de la salud”, en Derechos sociales y tutela antidiscriminatoria, ESCOBAR ROCA (dir.), Thomson Reuters Aranzadi, Cizur Menor (Navarra), 2012, págs. 1073-1178. ESTEPA MONTERO, M.: “El principio de responsabilidad proactiva o rendición de cuentas como informador del régimen jurídico de la protección de datos de las personas físicas”, en Anuario Jurídico y Económico Escurialense, LV, 2022, págs. 67-90. FARIAS, G./MONGE, C. V./NIÑO MOYA, R./COSMAI, N./GURFEIN, A. I./DURO, A./RUBÍN DE CELIS, V.: “Privacidad o privación-acompañamiento y despedidas en tiempos de Covid-19”, en La privacidad como derecho humano. Contribuciones para la promoción de una nueva agenda bioética. AGUILAR GUZMÁN, BENITES ESTUPIÑÁN, SCOTTI y SOROKIN (coords.), Dirección de 309 publicaciones de la Universidad Católica de Santiago de Guayaquil, Guayaquil, Ecuador, 2022. FARNÓS AMORÓS, E.: “La filiación derivada de reproducción asistida: voluntad y biología”, en Anuario de Derecho Civil, Tomo LXVIII, Fascículo I, 2015, págs. 5-61. FERNÁNDEZ MONTALVO, R.: “Dimensión del derecho a la protección a la salud. Su tratamiento en la jurisprudencia del Tribunal Constitucional”, en Derecho y salud, Volumen 19, 2010, págs. 11-30. FERNÁNDEZ ROMO, Mª M.: “La historia clínica: concepto, finalidad e importancia médico legal”, en Actualidad del Derecho sanitario, nº 197, 2012, págs. 547-552. GALÁN CORTÉS, J. C.: Responsabilidad Civil Médica, Cívitas Thomson Reuters, Cizur Menor (Navarra), 2018. GARCÍA HERRERO J.: “Responsabilidad Activa (Accountability) en el Reglamento General de Protección de Datos”, en Actualidad Jurídica Aranzadi, 2017. GARCÍA MAHAMUT, R.: El Reglamento General de Protección de Datos. Un enfoque nacional y comparado, Tirant Lo Blanch, Valencia, 2019. GARCÍA MAHAMUT, R.: “El derecho fundamental a la protección de datos: El Reglamento (UE) 2016/679 como elemento definidor del contenido esencial del artículo 18.4 de la Constitución”, en Corts: Anuario de Derecho parlamentario, nº Extra 31, 2018, págs. 59-80. GARCÍA SANZ, J.: “El secreto profesional en el ámbito sanitario”, en Estudios jurídico-penales sobre genética y biomedicina: Libro-homenaje al Prof. Dr. D. Ferrando Mantovani, BENÍTEZ, MORILLAS y PERIS (coords.), 2005, págs. 459- 481. [Document text truncated for crawler view.]