El Reglamento define como datos personales relacionados con la salud aquellos “relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud” (artículo 4.15).

En relación con los datos de salud, una de las cuestiones que más relevancia cobra es el tratamiento de la historia clínica de los pacientes. La Ley 41/2002 de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (en adelante “LAP”) define el término de historia clínica como “el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro” (artículo 14 LAP).

Esta información tiene la finalidad de facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud.

La normativa de protección de datos otorga una especial protección a los datos de salud, y así la LAP también tiene en cuenta este hecho cuando establece que el derecho a que se respete el carácter confidencial de los datos de salud, y que se restrinja su acceso a las personas autorizadas, siendo los centros sanitarios los responsables de adoptar las medidas oportunas para garantizar estos derechos (artículo 7 LAP).

Así las cosas, es de especial importancia que el acceso a estos datos se realice de acuerdo con el principio de proporcionalidad, debiendo así limitarse a los datos estrictamente necesarios y no pudiendo extenderse a los datos no vinculados a la finalidad del tratamiento.

Por otra parte, es importante señalar la importancia que cobra el deber de secreto profesional del personal sanitario para no descubrir frente a terceros información conocida con motivo del ejercicio de su profesión, tal y como reconoce la LAP, que establece que el personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto (artículo 16.6 LAP).

A mayor abundamiento, la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar, considera en su artículo 7.4 intromisión ilegítima, catalogada como falta grave, al revelación de datos privados de una persona o familia conocidos a través de la actividad profesional y oficial de quien los revela:

Tendrán la consideración de intromisiones ilegítimas en el ámbito de protección delimitado por el artículo segundo de esta Ley, la revelación de datos privados de una persona o familia conocidos a través de la actividad profesional u oficial de quien los revela.

Así, la Constitución establece en su artículo 20 que, la Ley regulará el derecho a la cláusula de conciencia y al secreto profesional en el ejercicio de estas libertades, para proseguir en el artículo 24.2 que, la Ley regulará los casos en que, por razón de parentesco o de secreto profesional, no se estará obligado a declarar sobre hecho presuntamente delictivos.

La doctrina constitucional, admite de forma unánime la estrecha relación del secreto médico y la intimidad, siendo esta el objeto de protección penal en los delitos que castigan la revelación de secretos, cítese a modo de ejemplo, el Auto del Tribunal Constitucional 660/1989 y la Sentencia del alto Tribunal 37/1989, en las que se establece que el secreto profesional, en cuanto justifica, por razón de una actividad, la sustracción al conocimiento ajeno de datos o informaciones obtenidas que conciernen a la vida probada de las personas, está estrechamente relacionado con el derecho a la intimidad que el artículo 18.1 de la Constitución garantiza, en su doble dimensión personal y familiar, como objeto de un derecho fundamental, reconociendo que el fundamento del secreto profesional médico es la intimidad del paciente, único titular para oponerse al uso de su historia clínica.

En el mismo sentido se pronuncia el artículo 16.6 de la citada Ley 41/2002: 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.

Dicho deber de secreto encuentra, además, su fundamento en las normas éticas y corporativas, tales como el Juramento de Hipócrates, y si en mi práctica médica, o aun fuera de ella, viese u oyere, con respeto a la vida de otros hombres, algo que jamás deba ser revelado al exterior, me callaré considerando como secreto todo lo de este tipo; o, en el Código de ética y deontología médica del Consejo General de Colegios de Médicos de España, que en su capítulo IV, los artículos 14 y 17, recogen que el Secreto médico es inherente al ejercicio de la profesión y se establece como un derecho del paciente a salvaguardar su intimidad ante terceros, obligando a todos los médicos, cualesquiera que sea la modalidad de su ejercicio. Así mismo, recoge que, la muerte del paciente no exime al médico del deber de secreto.

El citado Código, también recoge que, el médico tiene el deber de exigir a sus colaboradores discreción y observancia escrupulosa del secreto profesional. Ha de hacerles sabes que ellos también están obligados a guardarlo. En el ejercicio de la medicina en equipo, cada médico es responsable de la totalidad del secreto. Los directivos de la institución tienen el deber de facilitar los medios necesarios para que esto sea posible.

Sobre los sistemas de informatización médica, se específica que no comprometerán el derecho del paciente a su intimidad y mantendrán una estricta separación entre la documentación clínica y la documentación administrativa.

Preceptos, estos, que obligan a todos los médicos en el ejercicio de su profesión, cualquiera que sea la modalidad que practiquen, al ser el citado Código sancionado por una Entidad de Derecho Público, tal y como recoge el artículo 2 del mismo.

El secreto profesional en el ámbito sanitario abarca, no sólo la información que el paciente refiere, sino también la que el facultativo recoge a partir de pruebas diagnósticas o de cualquier otro tipo que se produzcan. A mayor abundamiento, entendemos a tenor de la legislación citada en el presente escrito, que el profesional sanitario, debe poner todos los medios necesarios para garantizar una custodia de los datos contenidos en la historia clínica del paciente.

Así, debe recordarse que, la revelación del secreto profesional la encontramos tipificada en la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, que en su artículo 199 recoge que, el que revelare secretos ajenos, de los que tenga conocimiento por razón de su oficio o sus relaciones laborales, será castigado con la pena de prisión de uno a tres años y multa de seis a doce meses, así como, que el profesional que, con incumplimiento de su obligación de sigilo o reserva, divulgue los secretos de otra persona, será castigado con la pena de prisión de uno a cuatro años, multa de doce a veinticuatro meses e inhabilitación especial para dicha profesión por tiempo de dos a seis años.

Sobre la titularidad de la historia clínica nos encontramos ante diferentes teorías, no por ello excluyentes, dependiendo de a quien se le atribuya. La primera de ellas hace referencia a la titularidad intelectual del facultativo, en tanto existe una creación intelectual y científica, donde influyen factores determinantes como la formación académica o la propia experiencia profesional.

En el caso de que el profesional sanitario no actúe por cuenta propia, si no que trabaje, bien como personal laboral o mediante una relación mercantil para un tercero, entendiéndose que la titularidad sería del centro sanitario para el que prestan sus servicios.

En relación a una titularidad material de la historia clínica, se le atribuye al paciente, al ser sus datos los que se recogen en la historia clínica. Por último nos encontramos ante una cuarta teoría de carácter más integrador o ecléctico, en base a la cual, la historia clínica contiene componentes diversos desde el punto jurídico: los relativos a la organización y gestión administrativa del centro sanitario, los que se refieren a los datos identificadores de los pacientes y otros relacionados con valoraciones, tratamientos e intervenciones sanitarias.

Cabe hacer mención a las anotaciones subjetivas, como hipótesis e impresiones personales de los profesionales sanitarios, basadas en sus percepciones, comentarios realizados por terceras personas, que carecen de trascendencia para el conocimiento veraz y actualizado del estado de salud del paciente, sin que puedan tener la consideración de un diagnóstico.

La redacción de dichas anotaciones conlleva una posible problemática relacionada con el derecho al acceso del paciente a su historia clínica. Como norma general, el paciente tiene derecho al acceso a la historia clínica y a obtener copia de los datos que figuran en ella. Ahora bien, este derecho no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, lo cuales pueden oponer al derecho de acceso, la reserva de sus anotaciones subjetivas.

La Agencia Española de Protección de Datos, en su Resolución 633/2004, afirma que “la posible denegación del acceso a las anotaciones subjetivas la tiene que realizar el facultativo, no la entidad que la custodia”, en este sentido cabe recordar también la Resolución 178/2007.

En relación a la conservación de la historia clínica, el artículo 17 de la citada Ley 41/2002, establece que los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial.

Sobre el plazo de conservación de la historia clínica, habrá que atender a la normativa específica así como a la legislación autonómica. El tratamiento de datos de salud, en el marco de la historia clínica, se ve afectado por otras normas sectoriales, que pueden llegar a modificar los plazos de conservación de las mismas, ampliándolos en todo caso, tal es el caso de la legislación en materia de prevención de riesgos laborales, en función de la naturaleza o sector de trabajo y los riesgos que determinados puestos de trabajo pueden conllevar.

En este sentido el artículo 22 de la Ley 31/1995, de 8 de noviembre, de prevención de riesgos laborales especifica que “en los supuestos en que la naturaleza de los riesgos inherentes al trabajo lo haga necesario, el derecho de los trabajadores a la vigilancia periódica de su estado de salud deber ser prolongado más allá de la finalización de la relación laboral, en los términos que reglamentariamente se determinen.”, precepto que encontramos desarrollado en el Real Decreto 664/1997, de 12 de mayo, sobre la protección de los trabajadores contra los riesgos relacionados con la exposición a agentes biológicos durante el trabajo, que obliga a conservar la lista de los empleados expuestos y sus historias clínicas durante un plazo mínimo de diez años después de la exposición pudiendo ser ampliado hasta cuarenta años según cada caso. El Real Decreto 665/1997, de 12 de mayo, sobre la protección de los trabajadores contra los riesgos relacionados con la exposición a agentes cancerígenos durante el trabajo establece que los mismos datos deberán conservarse durante cuarenta años después de terminada la exposición; el Real Decreto 783/2001, de 6 de julio, por el que se aprueba el Reglamento sobre protección sanitaria contra radiaciones ionizantes, obliga a conservar el historial dosimétrico de los trabajadores expuestos, los documentos correspondientes a la evaluación de dosis y a las medidas de los equipos de vigilancia, y los informes referentes a las circunstancias y medidas adoptadas en los casos de exposición accidental o de emergencia, por un periodo de tiempo, no inferior a treinta años, contados desde la fecha de cese del trabajador en aquellas actividades.

En el caso de Cataluña la historia clínica se ha de conservar como mínimo hasta veinte años desde la muerte del paciente, como ocurre en Navarra con idéntico plazo. En Cantabria nos remitimos a los 15 años desde la muerte del paciente y en Galicia la historia clínica deberá conservarse indefinidamente la información relativa a informes de alta, hojas de consentimiento informado, hojas de alta voluntaria, informes quirúrgicos y/o registros de parto, informes de anestesia, informes de exploraciones complementarias e informes de necropsia, así como la hoja de evolución y de planificación de cuidados de enfermería, cualquier otra información que se considere relevante para los efectos asistenciales, preventivos, epidemiológicos o de investigación y la información de aquellas historias clínicas en las que la conservación sea procedente por razones judiciales.

Tras realizar la ponderación debida para aplicar el test de proporcionalidad al que ya se ha hecho referencia, se deducen sin embargo tres supuestos en los que será posible el tratamiento de los datos de la historia clínica del paciente con fines diferentes a los meramente asistenciales, como viene establecido en la Ley de Autonomía del Paciente (artículo 16 LAP):

  1. El acceso para “fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia”: debe realizarse tras la disociación de los datos de manera que se asegure el anonimato, a menos que el interesado haya dado su consentimiento en los términos previstos en la normativa de protección de datos.

  2. En acceso solicitado por una autoridad judicial, cuando la identificación del paciente es necesaria para la tramitación del proceso en el que se solicitan los datos: en este caso se estará al os términos de la Resolución judicial, y el acceso quedará limitado a los fines específicos de cada caso concreto.

  3. El acceso por parte de los órganos de la inspección sanitaria: queda limitado a aquellos casos en los que la finalidad sea la “comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria”.

Por su parte, en cuanto a la regulación de la materia de protección de datos en procesos de investigación clínica, es importante que tengamos en cuenta tanto Reglamento (UE) No 536/2014 del Parlamento y del Consejo de 16 de abril de 2014 sobre los ensayos clínicos de medicamentos de uso humano, y por el que se deroga la Directiva 2001/20/CE, así como el Real Decreto 1090/2015, de 4 de diciembre, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos.

En ambos textos se parte de la consideración de ser la protección de datos, una garantía a la investigación, y ser responsabilidad de los Promotores, cumplir y hacer cumplir esta normativa.