Reclamación de acceso a la trazabilidad de accesos a la historia clínica laboral del interesado y estimación de la GAIP

Resolució 785/2022, de 22 de setembre Número d’expedient de la Reclamació: 44/2022 Administració reclamada: Institut Català de la Salut Informació reclamada: Traçabilitat d’accessos a la història clínica laboral de la persona reclamant. Sentit de la r esolució: Estimació. Resum: L’article 24.3 LTAIPBG estableix que “les sol·licituds d’accés a la informació pública que es refereixin només a dades personals del sol·licitant s’han de resoldre d’acord amb la regulació del dret d’accés que estableix la legislació de protecció de dades de caràcter personal”. I només cal llegir la sol·licitud formulada per la persona reclamant per adonar-se que en aquest procediment no només es demanen dades personals del sol·licitant, sinó també altres informacions en poder de l’ICS, especialment la identitat de les persones que han accedit al seu historial clínic. Es tracta, per tant, d’una sol·licitud que desborda l’àmbit propi de la protecció de dades personals i que, atès que afecta un organisme de l’Administració, s’ha de resoldre d’acord amb la normativa de transparència i accés a la informació pública, amb la garantia de la GAIP. Cal subratllar que aquesta interpretació és del tot compartida per l’APDCAT, que així ho argumenta a l’informe que ha emès per a aquesta Reclamació, i que fins i tot va derivar a la GAIP la Reclamació que li havia adreçat la persona reclamant, per indicació de l’ICS. L’accés de professionals de l’àmbit de l’ICS, com sembla ser el cas, a dades de l’historial clínic laboral de la persona reclamant no és un supòsit de l’article 15.1.c RPDP (persones destinatàries de les dades personals que formen part de l’historial en qüestió), perquè aquest precepte es refereix a casos de comunicació de dades a altres organismes o empreses o a persones alienes a l’organització titular del fitxer, sense incloure els casos en què l’accés a les dades del fitxer és a càrrec de persones de la mateixa organització, ja que aquest supòsit no comporta comunicar les dades a destinataris externs, que és l’objecte de l’article 15.1.c RPDP. De fet, l’antecedent 3 reprodueix una comunicació de l’ICS a la persona reclamant, segons la qual en el període sol·licitat “no s’ha efectuat cap comunicació a tercers destinataris fora de l’àmbit del responsable del tractament”, de manera que l’objecte de la Reclamació quedaria circumscrit als accessos a l’historial clínic laboral de la persona reclamant per part de persones que es troben “dins de l’àmbit del responsable del tractament”, és a dir, dins de l’àmbit de l’ICS. A més de l’interès general inherent a l’accés a la informació pública, segons la legislació de transparència i accés a la informació pública, el dret de la persona reclamant a la informació sobre la identitat de les persones que han accedit al seu historial clínic resulta reforçat significativament si hom té en compte que demana informació sobre les persones que han accedit a informació seva que és especialment protegida, molt rellevant tant des del punt de vista de la seva intimitat, com de les seves condicions de treball. En canvi, per a les persones que han accedit a l’historial, la divulgació de la seva identitat a la persona reclamant no els comporta cap sacrifici significatiu, perquè si hi han accedit legítimament, en exercici de les seves funcions professionals, la informació divulgada afecta únicament dades de la seva dimensió professional, sense afectació de la seva privacitat; i si no hi han accedit legítimament, difícilment poden invocar la protecció de la seva identitat per tapar la seva actuació il·legítima. Paraules clau: Organismes de la Generalitat. Persona interessada. Silenci administratiu. Dades personals. Accés a dades pròpies. Drets ARCO. Audiència a terceres persones. Accés a l’historial clínic laboral. Ponent: Josep Mir Bagó. Antecedents 1. L’11 de gener de 2022 entra a la GAIP la Reclamació 44/2022, presentada per una persona interessada contra l’Institut Català de la Salut (ICS), en relació amb la sol·licitud indicada a l’antecedent següent. La persona recl amant no sol·licita el procediment de mediació previst a l’article 42 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i regulat pels articles 36 a 41 del Reglament de la GAIP, aprovat pel Decret 111/2017, de 18 de juliol (RGAIP). 2. El 3 de setembre de 2021 la persona reclamant hauria demanat a l’ICS informació de les persones que han accedir a la seva història clínica laboral inclosa en el programa PREVEN utilitzat pel servei de prevenció de riscos laborals de l’ICS, en el període comprès entre el 20 d’agost del 2020 i el 20 d’agost del 2021, i amb indicació de les següents dades per a cada accés: 1 . Dates de cada accés 2. Nom o, si no és possible, categoria dels professionals que hi han accedit en cada data 3. Motiu de cada accés 4. Unitat des de la que s'ha produït cada accés 5. Centre des d'on han fet cada accés 6. Població des de la qual han realitzat cada accés. 3. L’1 de desembre de 2021 l’ICS contesta a la persona reclamant: “En resposta a la vostra petició us comuniquem les persones que han accedit a la vostra història clínica laboral i que va donar lloc al procediment de tutela dels drets número PT 118/2021, us podem informar que, en el període de temps sol·licitat, 20- 08-2020 a 20- 08-2021, no s’ha efectuat cap comunicació a tercers destinataris fora de l’àmbit del responsable del tractament ”. 4. La Reclamació presentada l’11 de gener de 2022 reitera l’objecte de la sol·licitud. 5. El 18 de gener de 2022 la GAIP comunica la Reclamació a l’ICS i li requereix que, dins del termini de quinze dies establert per l’article 33.4 RGAIP, li trameti un informe sobre ella, així com també còpia de l’expedient de la sol·licitud d’informació de la que deriva i, en general, dels antecedents que puguin ser rellevants per resoldre la Reclamació. 6. El 18 de gener de 2022 la GAIP admet provisionalment la Reclamació, informa a la persona reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada. 7. El 8 de febrer de 2022 la GAIP rep l’informe del CatSalut, que demana la inadmissibilitat de la Reclamació, que fonamenta en el fet que deriva d’una sol·licitud que no és d’informació pública, sinó de drets ARCO (accés, rectificació, cancel·lació i oposició), regulats pels articles 15 i següents del Reglament (UE) 2016/679 del Parlament Europeu i del Consell de 27 de abril de 2016, en relació amb els quals, segons la Llei 32/2010, reguladora de l’Autoritat Catalana de Protecció de Dades (APDCAT), exerceix les funcions de garantia precisament l’APDCAT, en comptes de la GAIP. Per una altra banda, l’informe també argumenta, d’acord amb l’APDCAT, que les sol·licituds de dades de persones de l’ICS que poden haver accedit a l’historial de la reclamant no tenen empara a la legislació de protecció de dades, que només les empara en relació amb possibles accessos des de fora dels responsables del fitxer (persones externes a l’ICS), i l’informe assenyala que en el període sol·licitat no hi ha hagut accessos a l’historial de la reclamant per part de persones externes a l’ICS. Així mateix, l’informe també invoca l’article 13 de la Llei catalana 21/2000, d’autonomia del pacient i drets d’informació i documentació clínica, segons el qual “1. Amb les reserves assenyalades a l'apartat 2 d'aquest article, el pacient té dret a accedir a la documentació de la història clínica descrita per l'article 10, i a obtenir una còpia de les dades que hi figuren. Correspon als centres sanitaris regular el procediment per a garantir l'accés a la història clínica. 2. El dret d'accés del pacient a la documentació de la història clínica mai no pot ésser en perjudici del dret de tercers a la confidencialitat de les dades d'aquests que figuren en l'esmentada documentació, ni del dret dels professionals que han intervingut en l'elaboració d'aquesta, que poden invocar la reserva de llurs observacions, apreciacions o anotacions subjectives. 3. El dret d'accés del pacient a la història clínica es pot exercir també per representació, sempre que estigui degudament acreditada” . 8. El 15 de febrer de 2022 la GAIP requereix a l’ICS les dades de contacte de les terceres persones afectades per la Reclamació, als efectes de donar -les l’audiència prevista pels articles 31 LTAIPBG i 34 RGAIP. 9. El 15 de febrer de 2022 la GAIP demana a l’APDCAT l’informe previst per l’article 42.8 LTAIPBG. 10. El 15 de febrer de 2022 la GAIP comunica a les parts la suspensió i ampliació del termini per resoldre causades per les actuacions indicades als dos antecedents anteriors. 11. L’1 de març de 2022 l’ICS presenta a la GAIP un recurs d’alçada contra el requeriment efectuat per la Secretària tècnica, el 15 de febrer de 2022, de les dades de contacte de les terceres persones afectades per la Reclamació. 12. El 3 de març de 2022 la GAIP rep l’informe de l’APDCAT, que conclou: “La normativa de protecció de dades no impedeix comunicar a la persona reclamant la informació que sol·licita, relativa als accessos a la seva història clínica laboral, inclosa la identitat, el càrrec o la categoria dels professionals que hi han accedit, així com altra informació vinculada als accessos produïts (data i motiu de cada accés, unitat, centre i població), en relació amb el període sol·licitat”. Aquesta conclusió es fonamenta, entre altres, en les següents consideracions: “Com ha fet avinent aquesta Autoritat, tant en la Resolució de tutela de drets núm. PT 118/2021, de 17 de novembre de 2021, relacionat amb la reclamació examinada, com en d’altres ocasions (Dictàmens CNS 8/2019, CNS 53/2019, o CNS 48/2021), la persona reclamant, d’entrada, té dret d’accés respecte la seva pròpia informació personal, en els termes que preveu l’article 15.1 RGPD. En concret, aquest precepte reconeix el dret de la persona afectada o interessada a sol·licitar i a obtenir del responsable del tractament una còpia de les seves dades de caràcter personal sotmeses a tractament, inclosa determinada informació sobre aquest tractament, com ara, als efectes que interessen, els destinataris a qui s’hagi comunicat o es prevegi comunicar aquestes dades (art. 15.1.c) RGPD). En aquest sentit consta en l’expedient que l’ICS hauria comunicat a la sol·licitant, en data 1 de desembre de 2021, que: “En resposta a la vostra petició per la qual sol·liciteu us comuniquem les persones que han accedit a la vostra història clínica laboral i que va donar lloc al procediment de tutela dels drets número PT 118/2021, us podem informar que, en el període de temps sol·licitat, 20- 08-2020 a 20- 08- 2021, no s’ha efectuat cap comunicació a tercers destinataris fora de l’àmbit del responsable del tractament.” Ara bé, com ha fet avinent aquesta Autoritat, sembla evident que no pot considerar-se com a “comunicació”, els accessos del personal que presta serveis per al propi responsable, atès que aquest personal forma part del propi responsable. Per això, tal com va recollir la Resolució PT 118/2021, els accessos fets pel personal de l’ICS no es poden considerar com una informació que formi part del dret d’accés previst a la normativa de protecció de dades (art. 15.1.c) RGPD). Sens perjudici d’això, vistos els termes de la reclamació presentada a la GAIP, és necessari examinar si existeix altra via diferent a l’exercici del dret d’accés de l’interessat (art. 15 RGPD) que permeti donar als sol·licitants informació sobre la traçabilitat dels accessos a la història clínica (registre d’accessos), i en quins termes. (...) La informació sol·licitada, referent a la traçabilitat dels accessos a la història clínica laboral de la reclamant, formaria part del registre o control d’accessos a les històries clíniques, de què disposa el responsable (l’ICS). Es tracta d’informació pública als efectes de l’LTC i restaria, per tant, sotmesa al règim d’accés previst en aquesta normativa, que estableix, com a criteri general, que el dret d’accés a la informació pública només pot ser denegat o restringit per les causes expressament establertes per les lleis (article 20 i següents). En aquest sentit, i tractant-se d’informació que comprèn dades personals, cal aplicar les previsions dels articles 23 i 24 de l’LTC. (...) La informació sobre la traçabilitat dels accessos a la història clínica laboral de la reclamant abasta un conjunt d’informació que va més enllà del que es pot entendre com a dades merament identificatives relacionades amb l’organització, el funcionament o l’activitat pública del responsable del tractament, en els termes de l’article 24.1 LTC, i de l’article 70.2 del Decret 8/2021, de 9 de febrer, sobre la transparència i el dret d'accés a la informació pública (RLTC). Ens referim, a banda de la informació sobre la identitat i, si escau, la categoria o el perfil dels professionals de l’ICS que hagin accedit, a altra informació com ara la data dels accessos, el motiu de cada accés, així com el centre i població des de la qual s’han produït. (...) D’altra banda, als efectes de la ponderació necessària, cal analitzar la possible afectació que l’accés a la informació pública sol·licitada podria comportar pels drets de les persones afectades (els professionals de l’ICS que hagin accedit a la història clínica laboral de la reclamant, les dades dels quals puguin constar en el registre d’accessos a efectes de traçabilitat). Les dades d’aquests professionals són dades personals protegides pels principis i garanties de la normativa de protecció de dades. Les dades dels professionals que accedeixen a la història clínica laboral poden ser no només dades identificatives o laborals (identitat, lloc de treball, categoria o perfil professional), sinó també informació relativa al propi accés (data, hora i lloc d’accés). En l’àmbit laboral, els treballadors poden fer un cert ús privat dels recursos informàtics o les eines de treball (un telèfon mòbil, un ordinador, etc.) que l’empresa posa a disposició d’aquests per al desenvolupament de les tasques i funcions que tenen encomanades, d’acord amb les polítiques d’ús que hagi establert cada empresa. Respecte d’aquest ús privat, en termes generals, els treballadors poden tenir certa expectativa de privacitat. Ara bé, més enllà d’això, no sembla que un treballador pugui tenir les mateixes expectatives quan utilitza aquestes mateixes eines per accedir a informació d’un tercer (el pacient), a la qual només hauria d’accedir per a complir determinades tasques que té assignades en relació amb la valoració i la prevenció de riscos laborals, en aquest cas. (...) En el context que ens ocupa, la traçabilitat dels accessos a les històries clíniques resulta una mesura necessària per a assegurar la protecció de la informació que s’hi conté. A més, el responsable haurà d’haver informat (i format) els seus treballadors sobre la gestió correcta de les històries clíniques laborals (entre d’altres, de la impossibilitat de dur a terme accessos no justificats i de les conseqüències d’un incompliment en aquest sentit), entre d’altres, perquè així es desprèn de l’article 22.2 LPRL, i dels principis esmentats de la normativa de protecció de dades. En definitiva, si tenim en compte que aquests treballadors han de tenir informació prèvia sobre l’ús correcte de les històries clíniques laborals, i sobre la traçabilitat dels accessos que s’hi produeixen, no sembla que l’expectativa de privacitat dels treballadors de l’ICS quan accedeixen i gestionen informació d’altri (expectatives que sí poden tenir en d’altres parcel·les de la seva activitat professional), pugui suposar un contrapès determinant en la ponderació esmentada. Per tant, el dret a la protecció de dades de les persones que hi hagin accedit no justificaria la denegació de l’accés per part de la reclamant al registre d’accessos a la seva pròpia història clínica laboral, incloent la identitat i el càrrec o categoria (o altres dades vinculades a l’accés com ara la data, la unitat, el centre i la població des de la que es produeix l’accés, i el motiu de l’accés) de les persones que han fet els accessos. Segons la informació que consta en l’expedient, la reclamant ha sol·licitat conèixer la identitat dels professionals que han accedit a la seva història clínica laboral i, “si per llei no poden donar- me les persones, llavors em facilitin el càrrec o la categoria (...).”. Ara bé en la mesura que, com hem vist, no es pot concloure que la llei impedeixi l’accés a la informació sol·licitada, no resultaria justificat, des del punt de vista del dret a la protecció de dades, facilitar només el càrrec o categoria. El principi de minimització de dades (article 5.1.c) RGPD), exigeix que l’accés es limiti a les dades estrictament necessàries per assolir la finalitat pretesa. Conèixer la identitat i el càrrec o categoria dels professionals que accedeixen a la història clínica laboral, des de la perspectiva del principi de minimització resulta proporcionat, ja que la identificació, únicament, dels perfils d’accés, sense que això permeti individualitzar quins professionals han accedit a l’HC, podria no ser suficient als efectes de la finalitat apuntada de detectar o comprovar, si escau, un accés indegut a la història clínica (LPRL). En canvi, no resultaria pertinent comunicar altres dades personals, com ara el número de DNI, dades de contacte d’aquests professionals o altres que, val a dir, la reclamant tampoc no demana. Finalment cal recordar que, segons disposa l’article 31 de l’LTC, si la sol·licitud d’informació pública pot afectar drets o interessos de tercers, identificats o fàcilment identificables, se’ls ha de donar trasllat de la sol·licitud, per tal que puguin fer les al·legacions que considerin convenients, en aquells casos en què puguin ser determinants del sentit de la resolució. Per tant, en el cas que ens ocupa caldrà atorgar el tràmit d’audiència a les persones afectades en relació amb el registre d’accessos a la història clínica laboral de la reclamant, per tal que puguin fer al·legacions i es pugui valorar, si escau, la concurrència d’alguna circumstància addicional que s’hagi de tenir en compte als efectes de la ponderació”. 13. El 7 de març de 2022 la GAIP comunica a les parts l’informe de l’APDCAT referit a l’antecedent anterior. 14. El 10 de març de 2022 la GAIP inadmet el recurs d’alçada indicat a l’antecedent 11 i requereix a l’ICS el lliurament immediat de les dades de contacte de les terceres persones afectades per la Reclamació. 15. El 22 de març de 2022 la GAIP rep una notificació de l’ICS que comunica la interposició d’un recurs contenciós administratiu contra la inadmissió del seu recurs d’alçada, amb petició de la mesura cautelar de suspensió. La GAIP considera que aquest fet suspèn automàticament la tramitació de la Reclamació, mentre el Tribunal no es pronunciï sobre la mesura cautelar sol·licitada. 16. El dia 27 de juliol de 2022 la GAIP rep la notificació de la interlocutòria de la secció cinquena de la sala contenciosa administrativa del Tribunal Superior de Justícia de Catalunya, emesa en el si del recurs contenciós administratiu 75/2022 interposat per l’ICS, segons la qual es desestima la petició de mesures cautelars indicada a l’apartat anterior. 17. El 17 d’agost de 2022 la GAIP rep de l’ICS les dades de les terceres persones afectades per la Reclamació, per tal de donar-les audiència en aquest procediment. 18. El 22 d’agost de 2022 la GAIP efectua el trasllat de la Reclamació a les terceres persones afectades, però diverses incidències retarden l’efectivitat de la notificació, que no es completa fins el 30 d’agost de 2022. 19. El 13 de setembre de 2022 una de les dues terceres persones afectades per la Reclamació presenta al·legacions, únicament als efectes d’indicar que, en tant que metge de la reclamant, va accedir al seu historial clínic. No s’oposa a l’accés sol·licitat. Fonaments jurídics 1. Competència de la GAIP i contingut i abast generals del dret d’accés a la informació pública L’article 39.1 LTAIPBG estableix que “Les resolucions expresses o presumptes en matèria d’accés a la informació pública i, si escau, les que resolguin el recurs de reposició poden ésser objecte de reclamació gratuïta i voluntària davant la Comissió de Garantia del Dret d’Accés a la Informació Pública, encarregada de vetllar pel compliment i les garanties del dret d’accés a la informació pública que regula aquest títol”. L’article 29 RGAIP desenvolupa aquest precepte i concreta que també poden ser objecte de reclamació davant la GAIP les comunicacions que substitueixin les resolucions i l’incompliment material del dret d’accés, quan aquest ha estat reconegut expressament o presumpta. D’acord amb aquests preceptes, la GAIP és competent per tramitar i resoldre aquesta Reclamació. L’article 2.c LTAIPBG defineix el dret d’accés a la informació pública com “el dret subjectiu que es reconeix a les persones per a sol·licitar i obtenir la informació pública, en els termes i les condicions regulats per aquesta llei”. Per la seva banda, l’apartat b del mateix precepte defineix la informació pública com “la informació elaborada per l’Administració i la que aquesta té en el seu poder com a conseqüència de la seva activitat o de l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei”. Segons l’article 18.1 LTAIPBG, “Les persones tenen el dret d’accedir a la informació pública, a què fa referència l’article 2.b, a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda”. I l’article 20.1 de la mateixa llei afegeix que “El dret d’accés a la informació pública es garanteix a totes les persones, d’acord amb el que estableix aquesta llei. El dret d’accés a la informació pública només pot ésser denegat o restringit per les causes expressament establertes per les lleis”. Així mateix, els apartats 2 i 3 de l’article 20 LTAIPBG estableixen els següents requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública: “2. Les limitacions legals al dret d’accés a la informació pública han d’ésser aplicades d’acord amb llur finalitat, tenint en compte les circumstàncies de cada cas concret, s’han d’interpretar sempre restrictivament en benefici d’aquest dret i no es poden ampliar per analogia. 3. Per a aplicar límits al dret d’accés a la informació pública, l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. En la motivació cal explicitar el límit que s’aplica i raonar degudament les causes que en fonamenten l’aplicació”. A més, els límits legals al dret d’accés a la informació pública no són d’aplicació automàtica i absoluta (l’encapçalament de l’article 21 LTAIPBG es refereix expressament a què els límits enumerats per aquest precepte “poden” dur a la denegació de l’accés sol·licitat), de manera que l’article 22 de la mateixa Llei requereix que siguin aplicats d’acord amb criteris de proporcionalitat i temporalitat: “Els límits aplicats al dret d’accés a la informació pública han d’ésser proporcionals a l’objecte i la finalitat de protecció. L’aplicació d’aquests límits ha d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació. 2. Els límits del dret d’accés a la informació pública són temporals si així ho estableix la llei que els regula, i es mantenen mentre perduren les raons que en justifiquen l’aplicació”. 2. Sobre el dret de la persona reclamant a la informació sol·licitada La informació sol·licitada en aquest procediment és la de les persones que han accedir a la història clínica laboral de la persona reclamant inclosa en el programa PREVEN utilitzat pel servei de prevenció de riscos laborals de l’ICS, en el període comprès entre el 20 d’agost del 2020 i el 20 d’agost del 2021, i amb indicació de les següents dades per a cada accés: dates, nom o, en cas de no ser legalment possible, c ategoria dels professionals que hi han accedit, motiu i unitat, centre i població des de la q ue s'ha produït cada accés. Com que es tracta d’una base de dades d’un organisme públic, com és el cas de l’ICS, la informació sol·licitada està en poder de l’Administració, motiu pel qual s’ha de considerar informació pública. En conseqüència, en aplicació dels articles 18.1 i 20.1 LTAIPBG, qualsevol persona té dret a accedir-hi, llevat que concorrin causes legals que en justifiquin la denegació. Si la persona que sol·licita la informació fos externa a les dades sol·licitades, segurament prevaldria el dret de protecció de les dades personals de la persona titular de les dades en relació amb les quals es demana conèixer els accessos. Però aquest límit legal no és aplicable al cas, perquè qui demana la informació és la mateixa persona titular de les dades personals afectades, en relació amb la qual, evidentment, no opera aquest límit. Nogensmenys, la normativa de protecció de dades personals protegeix també les dades d’aquesta naturalesa de les persones que hagin accedit a la història clínica laboral de la reclamant, ja que es demana la seva identitat i la seva categoria professional, entre altres dades, motiu pel qual caldrà valorar si ha de prevaldre el dret de la persona reclamant a conèixer les dades personals dels qui han accedit a la seva història clínica, o el dret a la protecció de les dades personals de les persones que han accedit a la història clínica de la reclamant. L’article 15 del Reglament UE 2016/679, del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques en allò que respecta al tractament de dades personals i a la lliure circulació d’aquestes dades (RPDP), estableix el següent: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información: a) los fines del tratamiento; b) las categorías de datos personales de que se trate; c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales (...) g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen (...)”. Aquest precepte garanteix un dret essencial per a la protecció de les dades personals de la ciutadania, com és el d’accés a les pròpies dades, informació imprescindible per poder valorar si s’han produït accessos indeguts, en perjudici, en aquest cas, de la més estricte confidencialitat de les dades de salut d’una persona. En aplicació d’aquest precepte, les persones físiques tenen dret a conèixer les seves dades personals que són objecte de tractament, les persones externes al fitxer que hi hagin accedit i les finalitats del seu tractament, entre altres. En el cas d’un historial clínic laboral de l’ICS, el dret d’accés de la persona interessada inclou conèixer les dades personals seves que són objecte de tractament (qualsevol anotació sobre la seva salut, per exemple) , l’origen d’aquestes dades (qui les ha anotat i en quines circumstàncies) i a qui s’han comunicat de fora de l’ICS, entre altres objectes. Cal concloure, per tant, que l’article 15 RPDP empara el dret de la persona reclamant a les dades que ha sol·licitat sobre accessos al seu historial clínic laboral. Els antecedents posen de manifest que l’ICS sosté que l’accés a la informació sol·licitada per la persona reclamant és un accés a dades pròpies, que s’ha de regir per la legislació de protecció de dades personals i no per la de transparència i accés a la informació pública (en aplicació de la disposició addicional 1a .2 LTAIPBG) i que l’autoritat de garantia competent és l’APDCAT i no la GAIP, ja que es tracta d’un cas d’exercici dels drets ARCO. És per això que ha interposat un recurs contenciós administratiu en relació amb la tramitació de la Reclamació per la GAIP, a la que considera incompetent a aquests efectes, i ha demanat al Tribunal la mesura cautelar de suspensió de l’actuació de la GAIP impugnada, mesura que el Tribunal li ha denegat. El cas és que l’article 24.3 LTAIPBG estableix que “les sol·licituds d’accés a la informació pública que es refereixin només a dades personals del sol·licitant s’han de resoldre d’acord amb la regulació del dret d’accés que estableix la legislació de protecció de dades de caràcter personal”. I només cal llegir la sol·licitud formulada per la persona reclamant per adonar-se que en aquest procediment no només es demanen dades personals del sol·licitant, sinó també altres informacions en poder de l’ICS, especialment la identitat de les persones que han accedit al seu historial clínic. Es tracta, per tant, d’una sol·licitud que desborda l’àmbit propi de la protecció de dades personals i que, atès que afecta un organisme de l’Administració, s’ha de resoldre d’acord amb la normativa de transparència i accés a la informació pública, amb la garantia de la GAIP. Cal subratllar que aquesta interpretació és del tot compartida per l’APDCAT, que així ho argumenta a l’informe que ha emès per a aquesta Reclamació, i que fins i tot va derivar a la GAIP la Reclamació que li havia adreçat la persona reclamant, per indicació de l’ICS. S’ha de tenir en compte que l’accés de professionals de l’àmbit de l’ICS, com sembla ser el cas, a dades de l’historial clínic laboral de la persona reclamant no és un supòsit de l’article 15.1.c RPDP (persones destinatàries de les dades personals que formen part de l’historial en qüestió), perquè aquest precepte es refereix a casos de comunicació de dades a altres organismes o empreses o a persones alienes a l’organització titular del fitxer, sense incloure els casos en què l’accés a les dades del fitxer és a càrrec de persones de la mateixa organització, ja que aquest supòsit no comporta comunicar les dades a destinataris externs, que és l’objecte de l’article 15.1.c RPDP. De fet, l’antecedent 3 reprodueix una comunicació de l’ICS a la persona reclamant, segons la qual en el període sol·licitat “no s’ha efectuat cap comunicació a tercers destinataris fora de l’àmbit del responsable del tractament”, de manera que l’objecte de la Reclamació quedaria circumscrit als accessos a l’historial clínic laboral de la persona reclamant per part de persones que es troben “dins de l’àmbit del responsable del tractament”, és a dir, dins de l’àmbit de l’ICS. Pel que s’ha dit als paràgrafs anteriors, si les persones que han accedit a l’historial clínic de la persona reclamant són externes a l’ICS, l’article 15.1 RPDP garanteix el dret de la persona reclamant de conèixer aquests accessos, dret que inclou la identitat les persones que han accedit al seu historial i les circumstàncies dels accessos produïts. Tanmateix, cal valorar a la llum de l’LTAIPBG el dret de persones al servei de l’ICS d’accedir a les dades personals de la persona reclamant, perquè en aquest cas no s’aplica preferentment l’article 15 RPDP, sinó la legislació de transparència i del dret d’accés a la informació pública. Com ja s’ha dit a l’inici d’aquest fonament jurídic, al ser l’historial clínic laboral de l’ ICS de la persona reclamant informació pública, qualsevol persona té dret a accedir-hi, llevat que concorrin causes legals que en justifiquin la denegació. La causa legal que concorre al cas és la de la protecció de les dades personals de les persones que han accedit a l’historial de la persona reclamant, ja que, entre altres coses, en demana la identitat. L’accés a la informació sol·licitada (nom i cognoms i categoria professional del personal al servei de l’ICS que ha entrat a historial clínic laboral de la persona reclamant i les altres diverses circumstàncies indicades a la sol·licitud) s’ha de regir per l’article 24.2 LTAIPBG, ja que les dades personals que formen part de la informació sol·licitada ni són merament identificatives relacionades amb l’organització i el funcionament de l’Administració (en aquest cas, seria d’aplicació l’article 24.1 LTAIPBG), ni especialment protegides per l’article 23 LTAIPBG. Segons l’article 24.2 LTAIPBG, “si es tracta d’altra informació que conté dades personals no incloses a l’article 23, es pot donar accés a la informació, amb la prèvia ponderació raonada de l’interès públic en la divulgació i els drets de les persones afectades. Per a dur a terme aquesta ponderació s’ha de tenir en compte, entre altres, les circumstàncies següents: a) El temps transcorregut. b) La finalitat de l’accés, especialment si té una finalitat històrica, estadística o científica, i les garanties que s’ofereixin. c) El fet que es tracti de dades relatives a menors d’edat. d) El fet que pugui afectar la seguretat de les persones”. A més de l’interès general inherent a l’accés a la informació pública, segons la legislació de transparència i accés a la informació pública, el dret de la persona reclamant a la informació sobre la identitat de les persones que han accedit al seu historial clínic resulta reforçat significativament si hom té en compte que demana informació sobre les persones que han accedit a informació seva que és especialment protegida, molt rellevant tant des del punt de vista de la seva intimitat, com de les seves condicions de treball. En canvi, per a les persones que han accedit a l’historial, la divulgació de la seva identitat a la persona reclamant no els comporta cap sacrifici significatiu, perquè si hi han accedit legítimament, en exercici de les seves funcions professionals, la informació divulgada afecta únicament dades de la seva dimensió professional, sense afectació de la seva privacitat; i si no hi han accedit legítimament, difícilment poden invocar la protecció de la seva identitat per tapar la seva actuació il·legítima. Els antecedents 18 i 19 indiquen que la Reclamació ha estat notificada a les terceres persones afectades, és a dir, els i les professionals de l’ICS que han entrat a la història clínica laboral de la persona reclamant, a les quals s’ha donat l’oportunitat presentar al·legacions. Únicament una de les terceres persones afectades ha contestat aquesta notificació i no s’oposa en absolut a les pretensions de la persona reclamant, ni posa de manifest que l’accés sol·licitat en aquest procediment comporti per a ella cap perjudici. En atenció a les anteriors consideracions, és procedent estimar la Reclamació 44/2022, declarar el dret de la persona reclamant a la informació sol·licitada sobre els accessos a la seva història clínica laboral en el programa PREVEN utilitzat pel servei de prevenció de riscos laborals de l’ICS, en el període comprès entre el 20 d’agost del 2020 i el 20 d’agost del 2021, i amb indicació de les següents dades per a cada accés: data, nom i categoria dels professionals que hi han accedit, motiu i unitat, centre i població des de la que s'ha produït cada accés. 3. Seguiment de l’execució L’article 43.5 LTAIPBG estableix que “l’Administració ha de comunicar a la Comissió les actuacions fetes per a executar els acords de mediació i per a donar compliment a les resolucions dictades per la Comissió”. Sobre la base d’aquestes comunicacions i de les efectuades per les persones interessades, la GAIP ha de fer seguiment del compliment de les seves resolucions, d’acord amb el que preveuen els articles 48 i 49 RGAIP i l’apartat 30 del seu Manual de reclamació, i pot adoptar les mesures que s’hi preveuen en cas d’incompliment. L’article 43 LTAIPBG estableix que si l’Administració incompleix el termini establert pels acords de mediació o per les resolucions de la GAIP per lliurar la informació reclamada, les persones interessades ho poden comunicar a la Comissió perquè aquesta en requereixi el compliment; la desatenció d’aquest requeriment, vista la remissió expressa feta a aquest precepte per l’article 77.2.b LTAIPBG, ha de ser qualificada d’infracció molt greu amb relació al dret d’accés a la informació pública (que pot ser sancionada de conformitat amb els articles 81 i 82 LTAIPBG). L’article 49.2 RGAIP preveu que, als efectes anteriors, la Comissió pot posar aquests fets en coneixement dels òrgans competents per ordenar la incoació del procediment sancionador corresponent a què fa referència l’article 86 LTAIPBG. Així mateix, l’article 25.2.k RGAIP preveu la publicació en el web de la Comissió dels casos que els seus requeriments han estat desatesos pels subjectes obligats. 4. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 22 de setembre de 2022, resol per unanimitat: 1. Estimar la Reclamació 44/2022 i declarar el dret de la persona reclamant a la informació sol·licitada sobre els accessos a la seva història clínica laboral en el programa PREVEN utilitzat pel servei de prevenció de riscos laborals de l’ICS, en el període comprès entre el 20 d’agost del 2020 i el 20 d’agost del 2021, i amb indicació de les següents dades per a cada accés: data, nom i categoria dels professionals que hi han accedit, motiu i unitat, centre i població des de la que s'ha produït cada accés. 2. Requerir a l’ICS que lliuri a la persona reclamant la informació indicada a l’apartat 1 dins del termini màxim de deu dies. 3. Requerir a l’ICS a informar la GAIP, dins del termini de quinze dies, de l’òrgan o la persona responsable del compliment d’aquesta Resolució , així com de les actuacions dutes a terme per complir-la. 4. Convidar a la persona reclamant que informi a la GAIP de qualsevol incidència que es produeixi amb motiu del compliment d’aquesta Resolució . 5. Declarar finalitzat el procediment relatiu a la Reclamació 44 /2021 i disposar la publicació d’aquesta resolució al web de la GAIP. Elisabet Samarra Gallego Presidenta Els terminis establerts en aquesta Resolució per lliurar la informació s’han de comptar en dies hàbils (descomptant festius i dissabtes) i si no s’especifica una altra cosa comencen a partir de l’endemà de la recepció de la seva notificació per l’Administració reclamada. L’Administració obligada pot sol·licitar a la GAIP l’ampliació del termini atorgat per fer efectiu el lliurament de la informació Aquesta sol·licitud només pot ser admesa a consideració si és notificada a la GAIP abans que fineixi el termini fixat a la Resolució, i s’ha de fonamentar en circumstàncies que no hagin pogut ser tingudes en compte per la Comissió abans de dictar la seva Resolució. La GAIP únicament atorgarà l’ampliació sol·licitada, després d’informar-ne a la persona reclamant, si l’Administració obligada ha justificat de forma precisa i consistent la seva necessitat. Si l’Administració obligada no lliura la informació dins del termini establert per aquesta Resolució , la persona reclamant pot posar-ho en coneixement de la GAIP, preferentment per correu electrònic adreçat a [email protected], per tal que la Comissió en requereixi el compliment. Mentre no s’acompleixi plenament la Resolució , la Comissió difondrà al seu web www.gaip.cat l’incompliment de l’Administració obligada, d’acord amb l’article 25.2.k RGAIP. Si l’Administració desatén el requeriment d’execució que li adreci la GAIP, la Comissió posarà els fets en coneixement de l’òrgan competent, d’acord amb allò previst per l’article 86 LTAIPBG, i li sol·licitarà la incoació d’un procediment sancionador per infracció molt greu amb relació al dret d’accés a la informació pública, a l’empara de l’article 77.2.b LTAIPBG. Tot això sens perjudici que la persona reclamant pugui, considerant que aquesta Resolució és un acte administratiu declaratiu de drets que vincula l’Administració, requerir-ne la seva execució davant dels Tribunals, a l’empara de l’article 29.1 de la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa. Aquesta acció es pot interposar després que hagin transcorregut tres mesos des que la persona afectada ha reclamat formalment i directament a l’Administració el compliment d’aquesta Resolució. Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administratiu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa.