Reclamación contra el ICS por denegación de acceso al informe de trazabilidad de historial clínico y resolución de la GAIP estimando el derecho de acceso

Resolució 265/2022, de 31 de març Número d’expedient de la Reclamació: 57/2022 Administració reclamada: Institut Català de la Salut Informació reclamada: Informe de traçabilitat d’un historial clínic. Sentit de la r esolució: Estimació. Resum: A la vista de la Reclamació, l’ICS considera que la sol·licitud de la qual deriva la Reclamació pròpiament no és una sol·licitud d’informació pública, sinó un procediment d’accés, revisió i cancel·lació de dades pròpies (ARCO), regulat per l’article 15 i següents del Reglament europeu 2016/679, de protecció de dades personals, en relació amb el qual la garantia de l’accés no seria una competència de la GAIP, sinó de l’autoritat de protecció de dades (que en relació amb les Administracions de Catalunya és l’APDCAT). És cert que la garantia d’accés a dades personals sol·licitades pel seu propi titular és regulada per la legislació de protecció de dades personals, més que per la de transparència i accés a la informació pública, però aquest fet no comporta necessàriament que la GAIP no sigui competent, als efectes d’aquesta garantia (el que estableix l’article 24.3 LTAIPBG és que “les sol·licituds d’accés a la informació pública que es refereixin només a dades personals del sol·licitant s’han de resoldre d’acord amb la regulació del dret d’accés que estableix la legislació de protecció de dades de caràcter personal”, però no exclou la competència de la GAIP per revisar aquestes resolucions); tot i això, la GAIP ve remetent a l’APDCAT la revisió de les sol·licituds que només demanen dades pròpies de la persona sol·licitant, però, d’acord amb els criteris de l’APDCAT, es considera competent en els procediments de revisió en els que, a més de dades pròpies, la persona reclamant demana també altres dades en poder de l’Administració, com és el cas de la identitat de les persones que han consultat la història clínica de la persona reclamant custodiada per l’ICS. Aquest criteri és a bastament i sòlidament argumentat per l’informe aportat per l’APDCAT a aquest procediment. D’acord amb la ponderació feta detalladament per l’informe de l’APDCAT aportat a aquest procediment (antecedent 10), que aquesta Resolució assumeix plenament, mereix una major protecció el dret de la persona reclamant a conèixer la identitat de les persones que han accedit a la seva història clínica, i així poder conèixer si s’han produït accessos inadequats o improcedents a les seves dades de salut, que són especialment protegides per l’LTAIPBG i per la legislació de dades personals, que el dret de les persones que han accedit a la història clínica de la persona reclamant a protegir la seva identitat, ja que en aquest cas el perjudici que pot causar -los l’accés sol·licitat es projecta únicament al seguiment de la seva activitat professional. Aquesta consulta no s’ha pogut dur a terme per la manca manifesta de col·laboració de l’ICS, que malgrat els reiterats requeriments de la GAIP es nega a facilitar-li les dades de contacte de les terceres persones afectades per tal que la Comissió pugui sotmetre- les a consulta la Reclamació (tràmit especialment imprescindible si hom té en compte que no l’ha dut a terme l’ICS amb motiu de la tramitació de la sol·licitud de la qual deriva la Reclamació). En conseqüència, la Resolució és aprovada sens perjudici del que resulti de la consulta a les terceres persones afectades, que ha de ser duta a terme per l’ICS en la fase d’execució de la Resolució, amb el ben entès que s’hauran de comunicar a la GAIP les eventuals al·legacions que formulin les persones afectades, que haurà de valorar-les i determinar fins a quin punt poden incidir en el sentit i efectes de la Resolució. Paraules clau: Organismes de la Generalitat. Persona interessada. Historia clínic. Traçabilitat d e l’accés. ARCO. Reclamació contra manca de lliurament. Competència de la GAIP. Objecte del procediment de reclamació. Deure de col·laboració en el trasllat. Terceres persones afectades. Dades personals. Accés a les pròpies dades. Consulta a les terceres persones afectades. Ponent: Josep Mir Bagó. Antecedents 1. El 14 de gener de 2022 entra a la GAIP la Reclamació 57/2022, presentada contra l’Institut Català de la Salut (ICS), en relació amb la sol·licitud indicada a l’antecedent següent. La persona reclamant sol·licita el procediment de mediació previst a l’article 42 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i regulat pels articles 36 a 41 del Reglament de la GAIP, aprovat pel Decret 111/2017, de 18 de juliol (RGAIP). 2. La persona reclamant invoca l’article 15 de la Llei orgànica 15/1999, de protecció de dades personals, i demana a l’ICS, a través de l’Oficina Virtual de Tràmits, les seves dades de caràcter personal incloses a la seva història clínica i tenir informació sobre l’origen de les dades, cessionaris, usos i finalitats per a les quals es varen emmagatzemar, des de l’1de juny de 2020 fins a l’actualitat. 3. El 23 de desembre de 2021 el Servei Català de la Salut contesta a la persona reclamant indicant que la traçabilitat del seu historial mèdic el pot consultar a l’aplicació La Meva Salut. 4. La Reclamació presentada el 14 de gener de 2022 indica que no se li ha facilitat la informació sol·licitada i fa les consideracions següents: “Al maig del 2021 vaig demanar informe de traçabilitat del meu historial clínic al meu cap de referencia (Cap Sagrada Família de Manresa). Fins la data d'avui no he rebut resposta, he fet una queixa a la pàgina del CatSalut i m'han respòs al mes i mig que aquesta informació la puc trobar a l'aplicació de la meva salut. Aquesta funció de l'aplicació fa mesos que no funciona i si es donés el cas de que si, no et dona la informació que necessito perquè vull saber les persones que han consultat la meva història clínica en els darrers dos anys. El motiu és que tinc sospites fundades de què han hagut irregularitats de tractament de la meva història en aquest sentit”. 5. El 25 de gener de 2022 la GAIP comunica la Reclamació a l’ICS i li requereix que, dins del termini de quinze dies establert per l’article 33.4 RGAIP, li trameti un informe sobre ella, així com també còpia de l’expedient de la sol·licitud d’informació de la que deriva i, en general, dels antecedents que puguin ser rellevants per resoldre la Reclamació. 6. El 25 de gener de 2022 la GAIP admet provisionalment la Reclamació, informa a la persona reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada. 7. El 9 de febrer de 2022 la persona reclamant comunica a la GAIP la renúncia al procediment de mediació. 8. El 15 de febrer de 2022 la GAIP demana a l’Autoritat Catalana de Protecció de Dades Personals (APDCAT) l’informe previst per l’article 42.8 LTAIPBG i comunica a les parts l’ampliació del termini per resoldre causada per aquesta actuació. 9. L’1 de març de 2022 la GAIP rep l’informe de l’ICS, que defensa la inadmissibilitat de la Reclamació perquè considera que té per objecte un procediment d’accés a dades pròpies (ARCO), de la competència de l’APDCAT; també argumenta que la sol·licitud no pot ser estimada: “l’origen d’aquesta reclamació és una sol·licitud de drets ARCO, en concret una sol·licitud de l’exercici del dret d’accés (traçabilitat) efectuada pel senyor xxxx i no una sol·licitud d’informació pública adreçada a la Direcció Gerència de l’Institut Català de la Salut. L’Autoritat Catalana de Protecció de Dades és qui té la competència per resoldre aquest procediment, d’acord amb el que estableixen els articles 5.b) i 8.2.b) de la Llei 32/2010, de l'1 d'octubre, de l'Autoritat Catalana de Protecció de Dades (en endavant Llei 32/2010) L’Agència Catalana de Protecció de Dades, autoritat independent creada per la Llei 5/2002, del 19 d’abril, de l’Agència Catalana de Protecció de Dades, és qui vetlla per la garantia del dret a la protecció de dades en l’àmbit de les administracions públiques de Catalunya mitjançant l’assessorament, la difusió del dret i el compliment de les funcions de control establertes per l’ordenament jurídic. (...) Per tant, la persona reclamant el que hauria d’haver fet és interposar una reclamació davant de l’Autoritat Catalana de Protecció de Dades en els terminis exigibles d’acord amb la normativa esmentada, i no a la GAIP ja que aquest òrgan administratiu no té atribuïdes les competències per resoldre reclamacions contra sol·licituds de drets ARCO, encabides en un procediment de tutela de drets. El que no pot fer el reclamant és interposar una Reclamació a la GAIP, utilitzant una via impròpia, sense prèviament haver efectuat una sol·licitud d’informació pública. Més si tenim en compte que la GAIP no té atribuïdes les competències legals per resoldre un procediment especial de tutela de drets, en tant que no té legalment encomandes les competències per resoldre aquest tipus de reclamacions, ja que aquests procediments especials tenen establert un altre règim d’accés especial que es troba regulat en la Llei 32/2010, d’1 d’octubre, de l’Autoritat Catalana de Protecció de Dades. De la mateixa manera que l’Agència Catalana de Protecció de Dades no és l’òrgan competent per resoldre reclamacions contra sol·licituds d’informació pública, en aquest cas, la GAIP tampoc és l’òrgan competent per resoldre reclamacions de procediments especials de tutela dels drets d’accés, rectificació, oposició i cancel·lació de les dades personals. (...) Ara bé, en el cas que la GAIP acordi resoldre sobre aquesta Reclamació 57/2022, aquesta també ha de ser desestimada per les següents raons: La Llei estatal bàsica 41/2002, de 14 de novembre, d’Autonomia del Pacient, estableix en el seu article 18 el dret d’accés a la història clínica en els termes següents: “Drets d'accés a la història clínica: 1. El pacient té el dret d'accés, amb les reserves que assenyala l'apartat 3 d'aquest article, a la documentació de la història clínica i a obtenir còpia de les dades que hi figuren. Els centres sanitaris han de regular el procediment que garanteixi l'observança d'aquests drets. 2. El dret d'accés del pacient a la història clínica també es pot exercir per representació degudament acreditada.” 3 . El dret a l'accés del pacient a la documentació de la història clínica no es pot exercir en perjudici del dret de terceres persones a la confidencialitat de les dades que hi consten recollides en interès terapèutic del pacient, ni en perjudici del dret dels professionals que participen en la seva elaboració, que poden oposar al dret d'accés la reserva de les seves anotacions subjectives. Per la seva banda, l’article 13 de la Llei catalana 21/2000, de 29 de desembre, d’Autonomia del Pacient i Drets d’Informació i Documentació Clínica, determina el següent: “Drets d'accés a la història clínica 1. Amb les reserves assenyalades a l'apartat 2 d'aquest article, el pacient té dret a accedir a la documentació de la història clínica descrita per l'article 10, i a obtenir una còpia de les dades que hi figuren. Correspon als centres sanitaris regular el procediment per a garantir l'accés a la història clínica. 2. El dret d'accés del pacient a la documentació de la història clínica mai no pot ésser en perjudici del dret de tercers a la confidencialitat de les dades d'aquests que figuren en l'esmentada documentació, ni del dret dels professionals que han intervingut en l'elaboració d'aquesta, que poden invocar la reserva de llurs observacions, apreciacions o anotacions subjectives. Respecte la identitat de les persones professionals de l’ICS que haurien accedit a la seva història clínica, cal precisar que aquesta informació no forma part del dret d’accés regulat per l’article 15 de la LOPD. Per contra, sí forma part del dret d’accés la informació relativa a les comunicacions de dades de la HC, és a dir els eventuals accessos efectuats per persones i/o entitats alienes a l’ICS. El criteri expressat en el paràgraf anter ior en el sentit de considerar que la informació sobre la identitat dels autors dels accessos quan es tracta de personal adscrit al responsable del fitxer o tractament no forma part del dret d’accés al no tenir la consideració de comunicacions de dades, i per tant no s’ha d’informar sobre tal identitat amb motiu d’una sol·licitud d’accés en termes LOPD, ha estat mantingut per l’Autoritat Catalana de Protecció de Dades en diverses resolucions. És criteri consolidat de l’Autoritat Catalana de Protecció de Dades, recollit en diverses resolucions i dictàmens (per tots, PT 60/20, citada a l’escrit d’al·legacions de l’ICS, PT 21/2019 i 60/2020 i CNS 8/2019, així com la PT 118/2021, la qual correspon a la Reclamació de la GAIP 44/2022, que no forma part del dret d’accés previst a l’article 15 de l’RGPD conèixer la identificació del personal del responsable del tractament (en aquest cas, l’ICS) que ha accedit a la història clínica. I això perquè, en essència, aquest tipus d’accés no es pot considerar una comunicació de dades a tercers destinataris; i, consegüentment, no es pot encabir a l’apartat 15.1.c) de l’RGPD. Així mateix, aquest criteri també ha estat confirmat per la jurisprudència en diverses sentències, entre d’altres, la dictada per l’Audiència Nacional el 26/02/2014: “debe destacarse que solicitud de acceso a información formulada por la aquí demandante ante el Ministerio de Hacienda y Administraciones Públicas es ajena al contenido del derecho de acceso a datos personales que reconoce al titular de tales datos el artículo 15 de la LOPD, pues va dirigida a obtener información sobre la identidad de los funcionarios o servidores públicos que pudieran hubieran accedido a los datos personales de la actora, presumiendo que pudieran haberlos cedido a terceros. Por consiguiente, no tiene por objeto la obtención de información de sus datos de carácter personal sometidos a tratamiento, del origen de tales datos y de las comunicaciones realizadas o que se prevén hacer de los mismos por el responsable de fichero, sino acerca de los datos de identidad de aquellos empleados públicos pertenecientes a la organización administrativa del responsable del fichero que hubieran accedido a los mismos, que no quedan comprendidos en el derecho de acceso reconocido al titular de datos personales y configurado legalmente en los términos expresados”. En conseqüència, per donar compliment a l’art. 15 de la LOPD, cal informar sobre les comunicacions que eventualment s’haguessin efectuat a tercers. O en cas que no s’hagués efectuat cap comunicació, informar en aquest sentit, sense que sigui exigible però, des del punt de vista del dret d’accés, informar sobre els eventuals accessos duts a terme per usuaris concrets del propi responsable (ICS). Per últim, l’article 18 de la LOPD, referent a la tutela dels drets d’accés, rectificació, oposició i cancel·lació, estableix en els seus apartats 1 i 2 el següent: “1. Les actuacions contràries al que disposa aquesta Llei poden ser objecte de reclamació pels interessats davant l’Agència de Protecció de Dades, en la forma que es determini per reglament. 2. L’interessat al qual es denegui, totalment o parcialment, l’exercici dels drets d’oposició, accés, rectificació o cancel·lació, ho pot posar en coneixement de l’Agència de Protecció de Dades o, si s’escau, de l’organisme competent de cada comunitat autònoma, que s’ha d’assegurar de la procedència o improcedència de la denegació.” Conclusions: Pels motius supra exposats, procedeix que la GAIP inadmeti la reclamació efectuada pel senyor xxxx perquè aquesta s’ha adreçat a un òrgan administratiu que no té la competència funcional per resoldre- la. Subsidiàriament aquesta Reclamació ha de ser desestimada, perquè la pretensió d’aconseguir la identitat dels professionals de l’ICS que hagin accedit a la seva història clínica no forma part del dret d’accés, al no tenir la consideració de comunicació de dades, i per tant l’ICS no té el deure legal d’informar sobre tal identitat amb motiu d’una sol·licitud d’accés en termes establerts en la LOPD”. 10. El 3 de març de 2022 la GAIP rep l’informe de l’APDCAT, que conclou: “La normativa de protecció de dades no impedeix comunicar a la persona reclamant la informació que sol·licita, relativa a la traçabilitat dels accessos a la seva història clínica, en concret, conèixer la identitat de les persones que han consultat la seva història clínica durant el període de dos anys sol·licitat”. Aquestes conclusions es fonamenten en les consideracions següents: “La reclamació es refereix a informació de la història clínica del propi reclamant. En concret, el reclamant demana conèixer la informació relativa a “les persones que han consultat la meva història clínica en els darrers dos anys.” La història clínica recull el conjunt de documents relatius al procés assistencial de cada malalt, tot identificant els metges i la resta de professionals assistencials que hi ha intervingut (art. 9.1 de la Llei 21/2000, de 29 de desembre, sobre els drets d’informació concernent la salut i l’autonomia del pacient, i la documentació clínica (en endavant, Llei 21/2000). La història clínica del pacient conté la informació relativa a aquesta assistència, i que detalla l’article 10.1 de la Llei 21/2000. Com ha fet avinent aquesta Autoritat (entre d’altres, en els Dictàmens CNS 8/2019, CNS 53/2019, o CNS 48/2021), la persona reclamant, d’entrada, té dret d’accés respecte la seva pròpia informació personal, en els termes que preveu l’article 15.1 RGPD. Als efectes que interessen, i atès que el reclamant demana conèixer les persones que haurien accedit a la seva història clínica, l’RGPD reconeix el dret de la persona afectada o interessada a sol·licitar i a obtenir del responsable del tractament una còpia de les seves dades personals sotmeses a tractament, inclosa determinada informació sobre aquest tractament, com ara, als efectes que interessen, els destinataris a qui s’hagi comunicat o es prevegi comunicar aquestes dades (art. 15.1.c) RGPD). Ara bé, com ha fet avinent aquesta Autoritat, no poden considerar-se com a “comunicació”, els accessos del personal que presta serveis per al propi responsable (art. 4.7 RGPD), l’ICS en el cas que ens ocupa, atès que aquest personal forma part del propi responsable. Així, els accessos fets pel propi personal assistencial o d’altres perfils (per exemple, personal administratiu) de l’ICS no es poden considerar com una informació que formi part del dret d’accés previst a la normativa de protecció de dades (art. 15.1.c) RGPD). Per la via de l’exercici del dret d’accés a les dades personals previst a la normativa de protecció de dades (art. 15 RGPD), el reclamant pot accedir a la identitat dels destinataris de la informació que no siguin personal de l’ICS o d’algun encarregat del tractament d’aquest. En canvi, no podria accedir a altra informació inclosa a la sol·licitud pel que fa als accessos de persones que estan sota la dependència del responsable. Caldrà veure si d’acord amb la legislació de transparència pot tenir accés a aquesta informació. (...) La informació sol·licitada, referent a la traçabilitat dels accessos a la història clínica del reclamant, formaria part del registre o control d’accessos a les històries clíniques, de què disposa el responsable. Es tracta d’informació pública als efectes de l’LTC i restaria, per tant, sotmesa al règim d’accés previst en aquesta normativa, que estableix, com a criteri general, que el dret d’accés a la informació pública només pot ser denegat o restringit per les causes expressament establertes per les lleis (article 20 i següents). En aquest sentit, i tractant-se d’informació que comprèn dades personals, cal aplicar les previsions dels articles 23 i 24 de l’LTC. (...) El reclamant explicita el motiu de la seva sol·licitud, en la reclamació adreçada a la GAIP, en els següents termes: “(...). El motiu és que tinc sospites fundades de han hagut irregularitats de tractament de la meva història en aquest sentit.” Així, és clar que la finalitat pretesa respon en aquest cas a la voluntat del propi titular de la història clínica de comprovar possibles accessos indeguts per, si fos el cas, constatar irregularitats de les que té sospites. Això li hauria de permetre, si escau, exercir alguna acció o reclamació relacionada amb aquest accés indegut o amb les conseqüències que això hagi pogut tenir pels seus interessos i drets com a pacient. A efectes de ponderació, cal tenir present que la història clínica respon a diversos usos, essent el principal la prestació d’una assistència adequada al pacient. (...) Així, d’entrada, qualsevol pacient pot tenir un interès legítim en conèixer quins accessos s’han produït a la seva història clínica com a mecanisme per a l’efectivitat dels drets que la legislació sanitària li reconeix. Aquest dret d’informació del pacient es configura en termes força amplis (article 2 Llei 21/2000 i art. 4 Llei 41/2002), en establir que aquest ha de poder disposar de tota la informació referida als diferents aspectes que repercuteixen en el seu tractament i per tant en la seva salut (...) Aquest dret d’informació ampli englobaria, entre d’altres, conèixer quins professionals estan a càrrec i han intervingut en el procés assistencial, és a dir, conèixer quins professionals atenen un pacient i, per extensió, es pot considerar que inclouria conèixer quins professionals han accedit a la història clínica per dur a terme o participar en aquesta atenció, o per realitzar les funcions previstes en la legislació d’autonomia del pacient (funcions administratives, accés pels serveis d’inspecció de la qualitat de l’assistència, etc.). La pròpia legislació reguladora de la història clínica i dels drets del pacient, limiten els termes en què determinats professionals poden accedir a les històries clíniques dels pacients. Per tant, atès que la història clínica és l’instrument principal per a prendre decisions sobre l’assistència que rep el pacient, és innegable que comprovar si s’han produït accessos indeguts, formaria part de l’interès legítim que, com a titular de la història clínica té el propi pacient. A més, recordem que la legislació en matèria de protecció de dades imposa al responsable del tractament l’obligació d’adoptar les mesures tècniques i organitzatives necessàries per garantir la seguretat de les dades personals tractades, inclosa la protecció contra el tractament no autoritzat o il·lícit (arts. 5 i 24 RGPD). Específicament en l’àmbit que ens ocupa, l’article 9.4 de la Llei 21/2000 disposa el següent: “4. Els centres sanitaris han de prendre les mesures tècniques i organitzatives adequades per a protegir les dades personals recollides i evitar-ne la destrucció o la pèrdua accidental, i també l'accés, l'alteració, la comunicació o qualsevol altre processament que no siguin autoritzats.” Alhora, la normativa de protecció de dades reconeix a l’afectat el dret a presentar una reclamació davant, en aquest cas, aquesta Autoritat quan consideri que s’ha produït un incompliment o infracció de la normativa de protecció de dades que afecta el tractament de les seves dades personals (art. 77 RGPD), com seria el cas d’haver-se produït un accés indegut a les dades de la seva història clínica laboral. Això, sens perjudici de poder emprendre altres accions legals que consideri oportunes. En aquest context, sembla clar que, per tal d’emprendre aquesta o altres accions legals per a la defensa dels seus drets i interessos, el reclamant ha de poder accedir a determinada informació sobre els accessos a la seva història clínica. En concret, el reclamant ha de poder conèixer quins professionals han accedit a la seva informació, per tal de poder corroborar o no les sospites d’accessos indeguts, i constatar una possible irregularitat pel que fa a les mesures que la normativa exigeix al responsable en relació amb la gestió de la història clínica del reclamant. (...) En el cas que ens ocupa aquesta habilitació estaria fonamentada en l’interès legítim que amb caràcter general cal reconèixer al pacient atès -el reclamant-, que resulta un element de ponderació que justificaria, en els termes apuntats, des de la perspectiva de la normativa de protecció de dades, l’accés al registre d’accessos produïts a la pròpia història clínica, per poder contrastar si aquests accessos s’ajusten a les previsions de la legislació estudiada i comprovar les sospites d’irregularitats que el reclamant explicita. D’altra banda, als efectes de la ponderació necessària, cal analitzar la possible afectació que l’accés a la informació pública sol·licitada podria comportar pels drets de les persones afectades (els professionals de l’ICS que hagin accedit a la història clínica del reclamant, les dades dels quals puguin constar en el registre d’accessos a efectes de traçabilitat). Les dades d’aquests professionals són dades personals protegides pels principis i garanties de la normativa de protecció de dades. Les dades dels professionals que accedeixen a la història clínica d’un pacient poden ser no només dades identificatives o laborals (identitat, càrrec, categoria o perfil professional), sinó també informació relativa al propi accés (data de l’accés i centre des d’on s’ha produït). Els treballadors (en aquest cas, professionals assistencials, o d’altres perfils, dels serveis de salut), poden fer un cert ús privat dels recursos informàtics o les eines de treball, com ara un telèfon mòbil, un ordinador, etc., que l’empresa posa a disposició d’aquests per al desenvolupament de les tasques i funcions que tenen encomanades, d’acord amb les polítiques d’ús que hagi establert cada empresa. Respecte d’aquest ús privat, en termes generals, els treballadors poden tenir certa expectativa de privacitat. Ara bé, més enllà d’això, no sembla que un treballador pugui tenir les mateixes expectatives quan utilitza aquestes mateixes eines per accedir a informació d’un tercer (el pacient), a la qual només hauria d’accedir per a complir determinades tasques que té assignades en relació amb la prestació d’assistència sanitària al pacient, en aquest cas. (...) Cal tenir en compte que, segons la legislació d’autonomia del pacient, qualsevol accés a les històries clíniques ha de ser necessàriament gestionat, protocol·litzat i supervisat pel responsable (art. 11 Llei 21/2000). La traçabilitat dels accessos a les històries clíniques resulta una mesura necessària per a assegurar la protecció de la informació que s’hi conté. Per tant, no sembla que l’expectativa de privacitat que els treballadors afectats podrien tenir en d’altres parcel·les de la seva activitat professional, resulti aplicable en igual mesura quan aquests treballadors accedeixen i gestionen informació d’altri (no només del propi pacient, sinó també dades d’altres persones, com ara familiars del pacient o d’altres professionals que l’atenen). En definitiva, si tenim en compte que els treballadors que puguin estar afectats per la reclamació presentada han de tenir informació prèvia sobre l’ús correcte de les històries clíniques i sobre la traçabilitat dels accessos que s’hi produeixen, no sembla que l’expectativa de privacitat d’aquests treballadors, quan accedeixen i gestionen informació d’altri (expectatives que sí poden tenir en d’altres parcel·les de la seva activitat professional), pugui suposar un contrapès determinant en la ponderació esmentada. Per tant, el dret a la protecció de dades de les persones que hi hagin accedit no justificaria la denegació de l’accés per part del reclamant al registre d’accessos a la seva pròpia història clínica, en concret, conèixer la identitat dels professionals que hi han accedit. En qualsevol cas, recordem que el principi de minimització de dades (article 5.1.c) RGPD), exigeix que l’accés es limiti a les dades estrictament necessàries per assolir la finalitat pretesa. Conèixer la identitat i, si escau, el càrrec, categoria o perfil dels professionals que accedeixen a la història clínica i altres dades vinculades a l‘accés (data i hora, lloc, motiu etc.), resultaria proporcionat, ja que permet donar compliment a la finalitat explicitada pel reclamant de conèixer “les persones que han consultat la meva història clínica” i comprovar, si escau, accessos indeguts dels que té sospita. En canvi, no resultaria pertinent comunicar altres dades personals, com ara el número de DNI, dades de contacte d’aquests professionals o altres que, val a dir, el reclamant tampoc no demana. Finalment cal recordar que, segons disposa l’article 31 de l’LTC, si la sol·licitud d’informació pública pot afectar drets o interessos de tercers, identificats o fàcilment identificables, se’ls ha de donar trasllat de la sol·licitud, per tal que puguin fer les al·legacions que considerin convenients, en aquells casos en què puguin ser determinants del sentit de la resolució. Per tant, en el cas que ens ocupa caldrà atorgar el tràmit d’audiència a les persones afectades en relació amb el registre d’accessos a la història clínica del reclamant, per tal que puguin fer al·legacions i es pugui valorar, si escau, la concurrència d’alguna circumstància addicional que s’hagi de tenir en compte als efectes de la ponderació”. 11. El 7 de març de 2022 la GAIP comunica a les parts l’informe de l’APDCAT, per al seu coneixement. 12. El 7 de març de 2022 la GAIP recorda a l’ICS que li ha requerit la identitat de les persones afectades per la Reclamació, de les quals demana també les dades de contacte per fer-les trasllat de la Reclamació, en aplicació dels articles 31 LTAIPBG i 34 RGAIP. No consta resposta de l’ICS a aquest requeriment. Fonaments jurídics 1. Competència de la GAIP i contingut i abast generals del dret d’accés a la informació pública L’article 39.1 LTAIPBG estableix que “Les resolucions expresses o presumptes en matèria d’accés a la informació pública i, si escau, les que resolguin el recurs de reposició poden ésser objecte de reclamació gratuïta i voluntària davant la Comissió de Garantia del Dret d’Accés a la Informació Pública, encarregada de vetllar pel compliment i les garanties del dret d’accés a la informació pública que regula aquest títol”. L’article 29 RGAIP desenvolupa aquest precepte i co ncreta que també poden ser objecte de reclamació davant la GAIP les comunicacions que substitueixin les resolucions i l’incompliment material del dret d’accés, quan aquest ha estat reconegut expressament o presumpta. A la vista de la Reclamació, l’ICS considera que la sol·licitud de la qual deriva la Reclamació pròpiament no és una sol·licitud d’informació pública, sinó un procediment d’accés, revisió i cancel·lació de dades pròpies (ARCO), regulat per l’article 15 i següents del Reglament europeu 2016/679, de protecció de dades personals, en relació amb el qual la garantia de l’accés no seria una competència de la GAIP, sinó de l’autoritat de protecció de dades (que en relació amb les Administracions de Catalunya és l’APDCAT). És cert que la garantia d’accés a dades personals sol·licitades pel seu propi titular és regulada per la legislació de protecció de dades personals, més que per la de transparència i accés a la informació pública, però aquest fet no comporta necessàriament que la GAIP no sigui competent, als efectes d’aquesta garantia (el que estableix l’article 24.3 LTAIPBG és que “les sol·licituds d’accés a la informació pública que es refereixin només a dades personals del sol·licitant s’han de resoldre d’acord amb la regulació del dret d’accés que estableix la legislació de protecció de dades de caràcter personal”, però no exclou la competència de la GAIP per revisar aquestes resolucions); tot i això, la GAIP ve remetent a l’APDCAT la revisió de les sol·licituds que només demanen dades pròpies de la persona sol·licitant, però, d’acord amb els criteris de l’APDCAT, es considera competent en els procediments de revisió en els que, a més de dades pròpies, la persona reclamant demana també altres dades en poder de l’Administració, com és el cas de la identitat de les persones que han consultat la història clínica de la persona reclamant custodiada per l’ICS. Aquest criteri és a bastament i sòlidament argumentat per l’informe aportat per l’APDCAT a aquest procediment: “com ha fet avinent aquesta Autoritat, no poden considerar-se com a “comunicació”, els accessos del personal que presta serveis per al propi responsable (art. 4.7 RGPD), l’ICS en el cas que ens ocupa, atès que aquest personal forma part del propi responsable. Així, els accessos fets pel propi personal assistencial o d’altres perfils (per exemple, personal administratiu) de l’ICS no es poden considerar com una informació que formi part del dret d’accés previst a la normativa de protecció de dades (art. 15.1.c) RGPD). Per la via de l’exercici del dret d’accés a les dades personals previst a la normativa de protecció de dades (art. 15 RGPD), el reclamant pot accedir a la identitat dels destinataris de la informació que no siguin personal de l’ICS o d’algun encarregat del tractament d’aquest. En canvi, no podria accedir a altra informació inclosa a la sol·licitud pel que fa als accessos de persones que estan sota la dependència del responsable” (antecedent 10). D’acord amb les anteriors consideracions, la GAIP és competent per tramitar i resoldre aquesta Reclamació. L’article 2.c LTAIPBG defineix el dret d’accés a la informació pública com “el dret subjectiu que es reconeix a les persones per a sol·licitar i obtenir la informació pública, en els termes i les condicions regulats per aquesta llei”. Per la seva banda, l’apartat b del mateix precepte defineix la informació pública com “la informació elaborada per l’Administració i la que aquesta té en el seu poder com a conseqüència de la seva activitat o de l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei”. Segons l’article 18.1 LTAIPBG, “Les persones tenen el dret d’accedir a la informació pública, a què fa referència l’article 2.b, a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda”. I l’article 20.1 de la mateixa llei afegeix que “El dret d’accés a la informació pública es garanteix a totes les persones, d’acord amb el que estableix aquesta llei. El dret d’accés a la informació pública només pot ésser denegat o restringit per les causes expressament establertes per les lleis”. Així mateix, els apartats 2 i 3 de l’article 20 LTAIPBG estableixen els següents requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública: “2. Les limitacions legals al dret d’accés a la informació pública han d’ésser aplicades d’acord amb llur finalitat, tenint en compte les circumstàncies de cada cas concret, s’han d’interpretar sempre restrictivament en benefici d’aquest dret i no es poden ampliar per analogia. 3. Per a aplicar límits al dret d’accés a la informació pública, l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. En la motivació cal explicitar el límit que s’aplica i raonar degudament les causes que en fonamenten l’aplicació”. A més, els límits legals al dret d’accés a la informació pública no són d’aplicació automàtica i absoluta (l’encapçalament de l’article 21 LTAIPBG es refereix expressament a què els límits enumerats per aquest precepte “poden” dur a la denegació de l’accés sol·licitat), de manera que l’article 22 de la mateixa Llei requereix que siguin aplicats d’acord amb criteris de proporcionalitat i temporalitat: “Els límits aplicats al dret d’accés a la informació pública han d’ésser proporcionals a l’objecte i la finalitat de protecció. L’aplicació d’aquests límits ha d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació. 2. Els límits del dret d’accés a la informació pública són temporals si així ho estableix la llei que els regula, i es mantenen mentre perduren les raons que en justifiquen l’aplicació”. 2. Sobre el dret de la persona reclamant a la informació sol·licitada La informació sol·licitada són les dades de caràcter personal que hi ha a la història clínica de la persona reclamant, inclosa la informació sobre l’origen de les dades, cessionaris, usos i finalitats per a les quals es varen emmagatzemar, des de l’1de juny de 2020 fins a l’actualitat. La Reclamació formulada insisteix que la persona reclamant vol saber les persones que han consultat la seva història clínica en els darrers dos anys perquè té sospites fundades d’irregularitats de tractament de la seva història clínica, i posa de manifest que el recurs al qual s’ha remès la seva sol·licitud (l’aplicació “la meva salut”) no li proporciona aquesta informació. En la mesura que la història clínica sol·licitada està en poder d’un organisme públic subjecte a l’LTAIPBG, com és el cas de l’ICS, és informació pública, atesa la definició que fa d’aquest terme l’article 2.b LTAIPBG. En conseqüència, i en aplicació dels articles 18.1 i 20.1 LTAIPBG, qualsevol persona té dret a accedir-hi, llevat que concorrin límits que puguin determinar-ne la denegació. Els límits que concorren a la informació sol·licitada són els relatius a la protecció de dades personals. Per una banda, les dades personals de la mateixa persona reclamant, relatives a la seva salut i que, per tant, tenen la condició de dades personals especialment protegides per l’article 23 LTAIPBG, segons el qual “les sol·licituds d’accés a la informació pública han d’ésser denegades si la informació que es vol obtenir conté dades personals especialment protegides, com ara les relatives a la ideologia, l’afiliació sindical, la religió, les creences, l’origen racial, la salut i la vida sexual, i també les relatives a la comissió d’infraccions penals o administratives que no comportin l’amonestació pública a l’infractor, llevat que l’afectat hi consenti expressament per mitjà d’un escrit que ha d’acompanyar la sol·licitud”. Nogensmenys, donat que qui demana la informació de la història clínica és la mateixa persona que n’és titular, el límit de l’article 23 LTAIPBG no li és aplicable. Per una altra banda, també són afectades per la sol·licitud les dades personals de les persones que han entrat a o consultat la història clínica de la persona reclamant els darrer s dos anys, ja que la persona reclamant en demana concretament la identitat. L’accés sol·licitat a aquestes dades s’ha de regir per l’article 24.2 LTAIPBG, segons el qual “Si es tracta d’altra informació que conté dades personals no incloses a l’article 23, es pot donar accés a la informació, amb la prèvia ponderació raonada de l’interès públic en la divulgació i els drets de les persones afectades. Per a dur a terme aquesta ponderació s’ha de tenir en compte, entre altres, les circumstàncies següents: a) El temps transcorregut. b) La finalitat de l’accés, especialment si té una finalitat històrica, estadística o científica, i les garanties que s’ofereixin. c) El fet que es tracti de dades relatives a menors d’edat. d) El fet que pugui afectar la seguretat de les persones ”. Aquest precepte, doncs, autoritza l’accés a les dades de la identitat de les persones que han accedit a la història clínica de la persona reclamant, prèvia ponderació dels interessos en joc. D’acord amb la ponderació feta detalladament per l’informe de l’APDCAT aportat a aquest procediment (antecedent 10), que aquesta Resolució assumeix plenament, mereix una major protecció el dret de la persona reclamant a conèixer la identitat de les persones que han accedit a la seva història clínica, i així poder conèixer si s’han produït accessos inadequats o improcedents a les seves dades de salut, que són especialment protegides per l’LTAIPBG i per la legislació de dades personals, que el dret de les persones que han accedit a la història clínica de la persona reclamant a protegir la seva identitat, ja que en aquest cas el perjudici que pot causar-les l’accés sol·licitat es projecta únicament al seguiment de la seva activitat professional. En aplicació de les anteriors consideracions, és procedent declarar el dret de la persona reclamant a la informació sol·licitada, sens perjudici de la necessitat de consultar prèviament les terceres persones afectades. 3. Consulta a les terceres persones afectades Segons l’article 31.1 LTAIPBG, “si la sol·licitud d’informació pública pot afectar drets o interessos de tercers, d’acord amb el que estableix aquesta llei, en el cas que els possibles afectats estiguin identificats o siguin fàcilment identificables se’ls ha de donar trasllat de la sol·licitud, i tenen un termini de deu dies per a presentar al·legacions si aquestes poden resultar determinants del sentit de la resolució”. Com ja s’ha apuntat al fonament jurídic anterior, està clar que en aquest cas la sol·licitud pot afectar els drets (concretament: el dret de protecció de les seves dades personals, sens perjudici d’altres que hi puguin concórrer) de les persones que han accedit a la història clínica de la persona reclamant i, per tant, l’accés sol·licitat els ha de ser sotmès prèviament a consulta. Això no vol dir que puguin impedir-lo amb la seva mera voluntat, però sí que tenen dret a exposar eventuals circumstàncies en les que l’accés sol·licitat pugui causar-les, si s’escau, perjudicis d’especial intensitat, que eventualment podrien arribar a decantar en sentit contrari la ponderació feta al fonament jurídic anterior, i també tenen dret a oposar-se a l’accés sol·licitat, cas en el qual l’accés en qüestió no es podria produir fins haver transcorregut el termini per impugnar la resolució de la Reclamació en via contenciosa administrativa (article 34.3 LTAIPBG). El cas és, però, que aquesta consulta no s’ha pogut dur a terme per la manca manifesta de col·laboració de l’ICS, que malgrat els reiterats requeriments de la GAIP es nega a facilitar-li les dades de contacte de les terceres persones afectades per tal que la Comissió pugui sotmetre- les a consulta la Reclamació (tràmit especialment imprescindible si hom té en compte que no l’ha dut a terme l’ICS amb motiu de la tramitació de la sol·licitud de la qual deriva la Reclamació). En conseqüència, la Resolució és aprovada sens perjudici del que resulti de la consulta a les terceres persones afectades, que ha de ser duta a terme per l’ICS en la fase d’execució de la Resolució, amb el ben entès que s’ hauran de comunicar a la GAIP les eventuals al·legacions que formulin les persones afectades, que haurà de valorar-les i determinar fins a quin punt poden incidir en el sentit i efectes de la Resolució. 4. Seguiment de l’execució L’article 43.5 LTAIPBG estableix que “l’Administració ha d e comunicar a la Comissió les actuacions fetes per a executar els acords de mediació i per a donar compliment a les resolucions dictades per la Comissió”. Sobre la base d’aquestes comunicacions i de les efectuades per les persones interessades, la GAIP ha de fer seguiment del compliment de les seves resolucions, d’acord amb el que preveuen els articles 48 i 49 RGAIP i l’apartat 30 del seu Manual de reclamació, i pot adoptar les mesures que s’hi preveuen en cas d’incompliment. L’article 43 LTAIPBG estableix que si l’Administració incompleix el termini establert pels acords de mediació o per les resolucions de la GAIP per lliurar la informació reclamada, les persones interessades ho poden comunicar a la Comissió perquè aquesta en requereixi el compliment; la desatenció d’aquest requeriment, vista la remissió expressa feta a aquest precepte per l’article 77.2.b LTAIPBG, ha de ser qualificada d’infracció molt greu amb relació al dret d’accés a la informació pública (que pot ser sancionada de conformitat amb els articles 81 i 82 LTAIPBG). L’article 49.2 RGAIP preveu que, als efectes anteriors, la Comissió pot posar aquests fets en coneixement dels òrgans competents per ordenar la incoació del procediment sancionador corresponent a què fa referència l’article 86 LTAIPBG. Així mateix, l’article 25.2.k RGAIP preveu la publicació en el web de la Comissió dels casos que els seus requeriments han estat desatesos pels subjectes obligats. 5. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 31 de març de 2022, resol per unanimitat: 1. Estimar la Reclamació 57/2022 i declarar el dret de la persona reclamant a accedir a les dades de caràcter personal que hi ha a la seva història clínica, inclosa la informació sobre l’origen de les dades, cessionaris i persones que l’han consultada, usos i finalitats per a les quals es varen emmagatzemar, des de l’1de juny de 2020 fins a la data de presentació de la sol·licitud indicada a l’antecedent 2. 2. Requerir l’ICS perquè en el termini de 10 dies de la recepció d’aquesta Resolució, i en aplicació d’allò previst per l’article 31 LTAIPBG, sotmeti la Reclamació, acompanyada del text d’aquesta Resolució, a les persones que en el període indicat a l’apartat anterior hagin accedit a la història clínica de la persona reclamant, donant-les un termini de 10 dies hàbils per formular al·legacions o/i per manifestar la seva oposició a l’accés sol·licitat. Al fer la consulta, l’ICS ha de facilitar a les persones consultades les dades de contacte de la GAIP i indicar -les que han de comunicar a la Comissió les al·legacions o altres manifestacions que vulguin formular, a fi que la Comissió pugui valorar si escau alterar el sentit de la resolució indicat al paràgraf anterior, o confirmar-lo. 3. Requerir l’ICS perquè faci efectiu el dret declarat a l’apartat 1 i faciliti a la persona reclamant la informació sol·licitada tan bon punt li requereixi la GAIP, un cop finalitzat el procés de consulta indicat a l’apartat anterior. 4. Requerir a l’ICS a informar la GAIP, dins del termini de quinze dies, de l’òrgan o la persona responsable del compliment d’aquesta Resolució , així com de les actuacions dutes a terme per complir-la. 5. Convidar a la persona reclamant que informi a la GAIP de qualsevol incidència que es produeixi amb motiu del compliment d’aquesta Resolució. 6. Declarar finalitzat el procediment relatiu a la Reclamació 57 /2021 i disposar la publicació d’aquesta resolució al web de la GAIP. Elisabet Samarra Gallego Presidenta Els terminis establerts en aquesta Resolució per lliurar la informació s’han de comptar en dies hàbils (descomptant festius i dissabtes) i si no s’especifica una altra cosa comencen a partir de l’endemà de la recepció de la seva notificació per l’Administració reclamada. L’Administració obligada pot sol·licitar a la GAIP l’ampliació del termini atorgat per fer efectiu el lliurament de la informació Aquesta sol·licitud només pot ser admesa a consideració si és notificada a la GAIP abans que fineixi el termini fixat a la Resolució, i s’ha de fonamentar en circumstàncies que no hagin pogut ser tingudes en compte per la Comissió abans de dictar la seva Resolució. La GAIP únicament atorgarà l’ampliació sol·licitada, després d’informar-ne a la persona reclamant, si l’Administració obligada ha justificat de forma precisa i consistent la seva necessitat. Si l’Administració obligada no lliura la informació dins del termini establert per aquesta Resolució , la persona reclamant pot posar-ho en coneixement de la GAIP, preferentment per correu electrònic adreçat a [email protected], per tal que la Comissió en requereixi el compliment. Mentre no s’acompleixi plenament la Resolució, la Comissió difondrà al seu web www.gaip.cat l’incompliment de l’Administració obligada, d’acord amb l’article 25.2.k RGAIP. Si l’Administració desatén el requeriment d’execució que li adreci la GAIP, la Comissió posarà els fets en coneixement de l’òrgan competent, d’acord amb allò previst per l’article 86 LTAIPBG, i li sol·licitarà la incoació d’un procediment sancionador per infracció molt greu amb relació al dret d’accés a la informació pública, a l’empara de l’article 77.2.b LTAIPBG. Tot això sens perjudici que la persona reclamant pugui, considerant que aquesta Resolució és un acte administratiu declaratiu de drets que vincula l’Administració, requerir -ne la seva execució davant dels Tribunals, a l’empara de l’article 29.1 de la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa. Aquesta acció es pot interposar després que hagin transcorregut tres mesos des que la persona afectada ha reclamat formalment i directament a l’Administració el compliment d’aquesta Resolució. Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administrat iu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa.