Solicitud de traçabilidad de accesos a la historia clínica y resultado de estimación por la GAIP

Resolució 701/2023, de 3 d’agost Número d’expedient de la Reclamació: 317/2023 Administració reclamada: Institut Català de la Salut-CAP Guinardó Informació reclamada: Informació, principalment, sobre els treballadors del CAP Guinardó o l'ICS que hagin tingut accés a la meva història clínica, tenint en compte la normativa de transparència. Sentit de la resolució: Estimació Resum: S’estima la petició del reclamant sobre la identificació de les persones que van accedir a la seva història clínica, per entendre que la informació sobre la traçabilitat d’aquests accessos és informació publica, ates allò previst a la Llei 21/2000, de 29 de desembre, sobre els drets d'informació concernent a la salut i l'autonomia del pacient, i la documentació clínica, i per tant és d’aplicació la LTAIPBG. Es reconeix que hi ha aspectes concurrents amb la tutela del dret a la protecció de dades prevista al RGPD, tot i que clarament el que seria d’aplicació, en el seu cas es el regim previst a l’article 77 RGPD en el cas que es detectessin accessos indeguts. Paraules clau: Generalitat. Institut Català de la Salut. Accés. Històries clíniques. Traçabilitat accessos a dades personals. Dades personals. Límits. Estimació. Ponent: Maria del Mar Pérez Velasco Antecedents El 3 d’abril de 2023 entra a la GAIP la Reclamació 317/2023, presentada pel reclamant, en relació amb la sol·licitud a l’Institut Català de la Salut (ICS) – Cap Guinardó indicada a l’antecedent següent. La persona reclamant no sol·licita el procediment de mediació previst a l’article 42 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i regulat pels articles 36 a 41 del Reglament de la GAIP, aprovat pel Decret 111/2017, de 18 de juliol (RGAIP). El 28 de gener de 2023 la persona reclamant presenta davant l’Institut Català de la Salut una sol·licitud d’accés a la informació en els termes següents: “se solicita toda la información disponible sobre las personas que han accedido a mi historia clínica y a cualquier documento personal, mostrando quiénes han sido las personas que han accedido para cada uno de estos documentos personales.” Que se entregue la información en formato digital, a la dirección de correo electrónico; Que se entregue la información solicitada completa y veraz directamente a mi persona y a mi correo electrónico, de la manera más entendible posible, sin que se facilite la información redirigiendo la solicitud a ninguna página web cuya información pueda carecer de credibilidad y veracidad. Que se incluya a todo el personal sanitario y no sanitario que haya accedido a mi historia clínica, es decir, administrativos, secretarios, informáticos, responsables de sistemas, etc. ya sea de manera explícita al hacer anotaciones o arreglos en el sistema que gestionan las historias clínicas, como también de manera implícita o a través de conversaciones y/o gestionas internas que se pudieran haber llevado a cabo de mis datos personales, accesos al sistema, etc.”. A la Reclamació presentada el 3 d’abril de 2023 s’indica que malgrat se li va informar per part de la direcció del CAP Guinardó que se li facilitaria la informació, el reclamant fa constar que no se li ha lliurat. L’ 11 d’abril de 2023 la GAIP admet provisionalment la Reclamació, informa a la persona reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada. L’11 d’abril de 2023 la GAIP comunica la Reclamació a l’ Institut Català de la Salut i li requereix que, dins del termini de quinze dies establert per l’article 33.4 RGAIP, li trameti un informe sobre ella, així com també còpia de l’expedient de la sol·licitud d’informació de la que deriva i, en general, dels antecedents que puguin ser rellevants per resoldre la Reclamació. A data d’avui, no s’ha obtingut cap resposta a aquest requeriment. El 5 de maig de 2023 entra a la GAIP tramesa de l’Institut Català de la Salut de l’expedient relatiu a la sol·licitud d'accés a la informació pública, informe i identificació de terceres persones que resulten afectades. A l’informe de la Unitat d’Informació de l’Institut Català de la Salut de data 4 de maig de 2023, en síntesis, s’exposa que les actuacions relatives a la sol·licitud d’accés a la informació pública es van gestionar inicialment per la Unitat d’Atenció a la Ciutadania atès que es van considerar que es tractava de l’exercici pel sol·licitant dels drets d’accés ARSOPOL, propis de l’àmbit del dret a la protecció de dades, i que també van rebre el 28 de gener de 2023 una petició de traçabilitat de la història clínica del reclamant utilitzant el formulari de tràmits genèric. S’informa que en data 29 de març de 2023, el director gerent de la Direcció d’Atenció Primària de Barcelona va donar resposta a l’escrit del reclamant de data 28 de gener de 2023 que s’havia adreçat a la bústia d’Atenció a la Ciutadania de l’Institut Català de la Salut i al CAP Guinardó, i es va informar al reclamant que tots els accessos que s’havien realitzat a la seva història clínica des dels diferents centres sanitaris amb titularitat de l’ICS s’havien efectuat amb una finalitat assistencial, i que per tant estaven justificats. També s’adjuntava una relació dels accessos abans esmentats amb l’origen dels accessos, el mòdul, la data d’accés, la categoria professional i el nom del centre. Documents que adjunten a l’informe. L’informe de l’ICS considera que s’hauria d’inadmetre aquesta Reclamació 317/2023 per no ser una sol·licitud d’informació pública sinó un sol·licitud de drets ARSOPOL encabida dins d’un procediment de tutela de drets de protecció de dades personals. Considera que seria d’aplicació el RGPD i que hauria de conèixer de l’assumpte l’Autoritat Catalana de Protecció de Dades i seria també d’aplicació la Llei 41/2002 per ser la norma que, per raó de la matèria i especialitat, regula el dret d’accés a la història clínica, a més de l’article 13 de la Llei Orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, i l’article 27 del Reial Decret 1720/2007, de 21 de desembre, pel que s’aprova el reglament de desenvolupament de la Llei Orgànica 15/1999 de protecció de dades de caràcter personal. D’acord amb això conclou que “ la persona reclamant el que hauria d’haver fet és interposar una reclamació davant de l’Autoritat Catalana de Protecció de Dades en els terminis exigibles d’acord amb la normativa esmentada, i no a la GAIP, ja que aquest òrgan administratiu no té atribuïdes les competències per resoldre reclamacions contra sol·licituds de drets ARSOPOL, encabides en un procediment de tutela de drets”; i que la interposició de de la reclamació davant la GAIP és una via impròpia per no disposar de competències sobre tutela de drets i “sense prèviament haver efectuat una sol·licitud d’informació pública”. Es recorda que “...la informació continguda en la història clínica són dades especialment protegides, l’accés indiscriminat al conjunt de dades de salut incorporades a la història clínica, per part dels professionals dels centres sanitaris resulta contrari al que preveu la LOPD i la Llei 41/2002. Per tant, l’article 16 d’aquesta última norma, distingeix varis tipus d’usos, en funció del tipus de professional i de la necessitat que existeixi per a desenvolupar les seves pròpies funcions. D’aquesta manera, permet l’accés als professionals assistencials que realitzen el diagnòstic o el tractament del pacient, degut a l’obligació d’aquests d’emplenar la història clínica, de manera que haurà de quedar datada i signada la informació que s’incorpori, de manera que s’identifiqui a la persona que ha accedit. També permet l’accés a la història clínica del pacient al personal d’administració i gestió, però aquest accés queda limitat a les dades relacionades amb les seves pròpies funcions. És a dir, la norma distingeix entre els professionals sanitaris que assisteixen al pacient, del personal d’administració i gestió.” S’afegeix que “...l’article 18 de la Llei 41/2002 reconeix el dret d’accés del pacient a la documentació de la seva història clínica, inclús a obtenir còpia de les dades que figurin en ella. No obstant aquest dret està subjecte a límits que venen determinats pel dret a la confidencialitat que tenen tant els professionals que participen en l’elaboració de la història clínica (anotacions subjectives), pel dret de terceres persones que aporten dades al professional en interès terapèutic del pacient (per exemple: un tercer que actua en benefici del pacient), així com la informació de que el pacient hagués estat privat degut a que existeixi un estat de necessitat terapèutica, degudament acreditada i sempre que així consti en la història clínica”. I sobre l’accés del pacient a les terceres persones que han accedit a la seva història clínica recorda que l’Autoritat Espanyola de Protecció de Dades “s’ha pronunciat sempre en el mateix sentit, en tant que si no hi ha una norma que de forma expressa ho permeti, no es pot accedir a la relació de les terceres persones que han accedit al fitxer de la història clínica.” I concretament menciona que el criteri d’aquesta institució és que “ el dret concedit a l’interessat per la llei únicament abastaria el coneixement de la informació sotmesa a tractament, però no de les persones, dins de l’àmbit de l’organització del responsable del fitxer que hagin tingut accés a dita informació”. D’aquesta forma “la informació sol·licitada en relació a les dades de les persones que han accedit a aquest fitxer, ha de ser considerada com “dades de caràcter personal”, raó per la qual la seva revelació a la persona interessada, persona distinta de l’usuari, suposaria una “cessió o comunicació de dades”, que hauria de comptar amb el consentiment de l’usuari o trobar-se habilitada per llei”. Aclareix l’informe de l’ICS que aquesta tesi de l’Autoritat espanyola és anterior a l’aprovació del RGPD i que sosté el mateix criteri l’Autoritat Catalana de protecció de dades ( informes 165/2005 i 171/2008). L’especificitat que incorpora el criteri de l’Autoritat catalana de protecció de Dades és que no seria competent per resoldre aquests tipus de reclamacions mitjançant la via d’accés a la Protecció de Dades, sinó que la persona reclamant hauria de reclamar per entendre que es tracta d’un accés indegut a la història clínica. En conclusió, l’informe de l’ICS entén, com s’ha dit, que “... l’APDCAT té l’obligació legal de resoldre les sol·licituds de traçabilitat dels professionals que han accedit a una història, sense que aquest dret hagi d’incardinar-se dins del dret accés a la informació pública. Si l’APDCAT considera, tot i els dubtes existents, que pot utilitzar directament la LTAIPBG en caràcter supletori a la normativa de protecció de dades per donar cobertura mitjançant norma jurídica amb rang de llei a l’accés en aquests termes, res l’impedeix resoldre les reclamacions de traçabilitat dels professionals que han accedit a la història clínica d’una tercera persona, atorgant aquest dret a la persona reclamant.” I s’insisteix en la inadmissió de la reclamació pels motius anteriorment exposats, per part de la GAIP de la reclamació presentada pel reclamant per considerar que no és l’organisme competent. Subsidiàriament, considera que aquesta Reclamació 317/2023 ha de ser desestimada, perquè la pretensió d’aconseguir la identitat dels professionals de l’ICS que hagin accedit a la seva història clínica no forma part del dret d’accés legalment establert a Catalunya, al no tenir la consideració de comunicació de dades, i per tant l’ICS no té el deure legal d’informar sobre tal identitat amb motiu d’una sol·licitud d’accés en els termes establerts en la LOPD, en els termes que ja ha raonat en casos similars l’AEPD en els diversos informes i resolucions, i a falta de norma legal amb rang de llei aplicable a Catalunya que contempli, reguli i autoritzi sense el consentiment dels afectats aquest tipus d’accessos. no previstos a l’article 15 de RGPD. El 21 de juny de 2023 la GAIP dona trasllat a les terceres persones afectades per la reclamació perquè presentin al·legacions que s’han pronunciat fent constar que els accessos a la historia clínica es realitzaven en el marc de les seves funcions laborals, atès que és necessari accedir a les dades administratives i clíniques dels usuaris assignats al centre EAP Guinardó de l’Institut Català de la Salut. El 10 de juliol 2023 el reclamant demana accés a l’expedient relatiu a la tramitació de la seva reclamació presentada la GAIP que se li facilita mitjançant el tramitador genèric de la Generalitat el 19 de juliol de 2023. El 12 de juliol de 2023 la GAIP sol·licita informe de l’Autoritat Catalana de Protecció de Dades (APDCAT) en virtut d’allò previst a l’article 42.8 de la LTAIPBG. El 31 de juliol de 2023 entra a la GAIP l’informe de l’APDCAT que conclou que: “La normativa de protecció de dades no impedeix comunicar a la persona reclamant la informació que sol·licita, relativa als accessos a la seva història clínica, inclosa la identitat dels professionals, rang i categoria professional, que hi han accedit.” En síntesi, l’informe considera que la reclamació es refereix a la traçabilitat dels accessos a la història clínica del reclamant titular de la informació i recorda la doctrina de l’Autoritat Catalana de Protecció de dades segons la qual el titular reclamant tindria dret a l’accés respecte a la seva pròpia informació personal en els termes que preveu l’article 15.1 RGPD, i d’altra banda, sobre la traçabilitat dels accessos a la seva historia clínica on sol·licita la identitat dels professionals, el rang i categoria professional, el RGPD reconeix el dret de la persona afectada o interessada a sol·licitar i a obtenir del responsable del tractament una còpia de les seves dades de caràcter personal sotmeses a tractament, inclosa determinada informació sobre aquest tractament, com ara, als efectes que interessen, els destinataris a qui s’hagi comunicat o es prevegi comunicar aquestes dades (art. 15.1.c) RGPD). I a més afegeix que “Ara bé, com també ha fet avinent aquesta Autoritat abastament, sembla evident que no pot considerar-se com a “comunicació” els accessos del personal que presta serveis per al propi responsable (en el cas que ens ocupa, l’ICS), atès que aquest personal forma part del propi responsable. Per això, els accessos a la història clínica d’un pacient, en el cas que ens ocupa, la persona reclamant, que hagi dut a terme el personal de l’ICS, no es poden considerar com una informació que formi part del dret d’accés previst a la normativa de protecció de dades (art. 15.1.c) RGPD).” Considera que “La informació sol·licitada, referent a la traçabilitat dels accessos a la història clínica de la reclamant, formaria part del registre o control d’accessos a les històries clíniques, de què disposa el responsable. Es tracta d’informació pública als efectes de l’LTC i restaria, per tant, sotmesa al règim d’accés previst en aquesta normativa, que estableix, com a criteri general, que el dret d’accés a la informació pública només pot ser denegat o restringit per les causes expressament establertes per les lleis (article 20 i següents). Reconeix que es tracta d’informació que comprèn dades personals, i són d’aplicació els articles 23 i 24 de l’LTC, però aquesta informació pot incloure dades que no siguin merament identificatives, relacionades amb la organització, el funcionament o l’activitat pública del responsable del tractament, com serien la informació sobre la identitat, el rang i la categoria professional dels professionals de l’ICS que hagin accedit, sinó que s’afectaria també a altra informació com ara el accessos que s’han produït, la seva data i lloc o, si escau, el motiu pel que s’accedeix a la història clínica. L’accés a la informació sol·licitada requereix, per tant, d’una ponderació prèvia entre l’interès públic en la comunicació de la informació i els drets de les persones afectades (art. 24.2 LTAIPBG). Als efectes de la corresponent ponderació analitza la regulació de la Llei 21/2000, de 29 de desembre, sobre els drets d'informació concernent la salut i l'autonomia del pacient, i la documentació clínica, i les limitacions especifiques que en aquesta norma s’hi comprenen a l’accés de determinats professionals a la historia clínica dels pacients ( articles 2, 9,4, i 11 ) i d’altra banda la previsió de l’article 77 RGPD que reconeix a l’afectat el dret de reclamar davant l’Autoritat de control en matèria de protecció de dades quan consideri que s’ha produït un incompliment o infracció de la normativa de protecció de dades que afecta a les seves dades personals, i per fer ús d’aquest procediment, prèviament ha de poder conèixer quins professionals han accedit a la seva informació, per poder comprovar els accessos indeguts, i recorda la disposició addicional desena de la LOPDGDD que preveu una habilitació per a la comunicació en base a l’interès legítim de tercers, que seria el propi reclamant en aquest cas. Per a les persones afectades, l’informe considera que “els treballadors que puguin estar afectats per la reclamació presentada han de tenir informació prèvia sobre l’ús correcte de les històries clíniques i sobre la traçabilitat dels accessos que s’hi produeixen, no sembla que l’expectativa de privacitat d’aquests treballadors, quan accedeixen i gestionen informació d’altri (expectatives que sí poden tenir en d’altres parcel·les de la seva activitat professional), pugui suposar un contrapès determinant en la ponderació esmentada.” I que “ el dret a la protecció de dades de les persones que hi hagin accedit no justificaria la denegació de l’accés per part de la persona reclamant al registre d’accessos a la seva pròpia història clínica, en concret, conèixer la identitat dels professionals que hi han accedit, rang i categoria professional”. I es recorda que el principi de minimització de dades (article 5.1.c) RGPD), exigeix que l’accés es limiti a les dades estrictament necessàries per assolir la finalitat pretesa, com ara la identitat, càrrec, categoria o perfil dels professionals que accedeixen a la història clínica i altres dades vinculades a l‘accés (data i hora, lloc, motiu etc.), resultaria proporcionat, i no ho seria comunicar altres dades personals, com ara el número de DNI, dades de contacte d’aquests professionals o altres que, el reclamant tampoc no demana. Fonaments jurídics 1. Competència de la GAIP i contingut i abast generals del dret d’accés a la informació pública L’article 39.1 LTAIPBG estableix que “Les resolucions expresses o presumptes en matèria d’accés a la informació pública i, si escau, les que resolguin el recurs de reposició poden ésser objecte de reclamació gratuïta i voluntària davant la Comissió de Garantia del Dret d’Accés a la Informació Pública, encarregada de vetllar pel compliment i les garanties del dret d’accés a la informació pública que regula aquest títol”. L’article 29 RGAIP desenvolupa aquest precepte i concreta que també poden ser objecte de reclamació davant la GAIP les comunicacions que substitueixin les resolucions i l’incompliment material del dret d’accés, quan aquest ha estat reconegut expressament o presumpta. D’acord amb aquests preceptes, la GAIP és competent per tramitar i resoldre aquesta Reclamació. L’article 2.c LTAIPBG defineix el dret d’accés a la informació pública com “el dret subjectiu que es reconeix a les persones per a sol·licitar i obtenir la informació pública, en els termes i les condicions regulats per aquesta llei”. Per la seva banda, l’apartat b del mateix precepte defineix la informació pública com “la informació elaborada per l’Administració i la que aquesta té en el seu poder com a conseqüència de la seva activitat o de l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei”. Segons l’article 18.1 LTAIPBG, “Les persones tenen el dret d’accedir a la informació pública, a què fa referència l’article 2.b, a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda”. I l’article 20.1 de la mateixa llei afegeix que “El dret d’accés a la informació pública es garanteix a totes les persones, d’acord amb el que estableix aquesta llei. El dret d’accés a la informació pública només pot ésser denegat o restringit per les causes expressament establertes per les lleis”. Així mateix, els apartats 2 i 3 de l’article 20 LTAIPBG estableixen els següents requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública: “2. Les limitacions legals al dret d’accés a la informació pública han d’ésser aplicades d’acord amb llur finalitat, tenint en compte les circumstàncies de cada cas concret, s’han d’interpretar sempre restrictivament en benefici d’aquest dret i no es poden ampliar per analogia. 3. Per a aplicar límits al dret d’accés a la informació pública, l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. En la motivació cal explicitar el límit que s’aplica i raonar degudament les causes que en fonamenten l’aplicació”. A més, els límits legals al dret d’accés a la informació pública no són d’aplicació automàtica i absoluta (l’encapçalament de l’article 21 LTAIPBG es refereix expressament a què els límits enumerats per aquest precepte “poden” dur a la denegació de l’accés sol·licitat), de manera que l’article 22 de la mateixa Llei requereix que siguin aplicats d’acord amb criteris de proporcionalitat i temporalitat: “Els límits aplicats al dret d’accés a la informació pública han d’ésser proporcionals a l’objecte i la finalitat de protecció. L’aplicació d’aquests límits ha d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació. 2. Els límits del dret d’accés a la informació pública són temporals si així ho estableix la llei que els regula, i es mantenen mentre perduren les raons que en justifiquen l’aplicació”. Un dels aspectes suscitats en la tramitació d’aquesta reclamació es refereix a si la sol·licitud de la informació sobre els accessos dels professionals que han intervingut en la historia clínica del reclamant forma part del contingut propi del dret d’accés a la informació publica regulada la LTAIPBG o bé si es considera que forma part del contingut del règim de garanties pròpies de l’exercici del dret a la protecció de dades de caràcter personal previst al RGPD i altra normativa de desenvolupament, determinat amb aquest anàlisi si la competència per a conèixer d’aquesta reclamació correspon a aquesta Comissió o bé a l’autoritat de control en matèria de protecció de dades. D’acord amb el que s’exposarà al proper apartat, cal concloure que la informació relativa a la traçabilitat dels accessos a la història clínica d’un pacient, tenint en compte que la pròpia historia clínica està formada per un conjunt de documents relatius al procés assistencial de cada pacient, identificant els professionals ( metges i resta de facultatius) que intervenen d’acord amb el que es preveu a l’article 9 de la llei 21/2000, de 29 de desembre, sobre els drets d’informació concernent a la salut i l’autonomia del pacient i la documentació clínica, efectivament s’ha de considerar, quan es tracta d’un centre públic prestador del servei sanitari, com a informació pública, i per tant li és d’aplicació allò establert a la LTAIPBG. Al marge de que també esdevingui d’aplicació altres règims de tutela que preserven altres aspectes involucrats amb la gestió d’aquesta informació, com poden ser els aspectes concernits amb la protecció de dades personals. 2. Sobre el dret de la persona reclamant a la informació sol·licitada La informació sol·licitada i reclamada consisteix en conèixer les persones que han accedit a la historia clínica del reclamant i qualsevol document personal, inclosa la identitat dels professionals, rang i categoria professional, que hi han accedit”. És a dir, que es demana la traçabilitat dels accessos a la historia clínica del titular d’aquesta informació, el reclamant. Es considera que aquesta informació és pública, en la mesura en què es troba en poder de l’administració en el moment en que va ser sol·licitada i atès que forma part de la documentació que conforma la història clínica i que, en aquest cas, es gestiona per a la prestació dels serveis sanitaris corresponents per part d’una institució pública com és l’ICS. D’acord amb això, tal com estableix l’art. 2.b LTAIPBG aquesta informació pot ser objecte del dret d’accés garantit per l’article 18.1 LTAIPBG, amb els límits i restriccions establertes per la Llei de forma expressa. D’altra banda, d’acord amb la Llei 8/2007, de 30 de juliol, de l'Institut Català de la Salut, és una entitat de dret públic de la Generalitat, que actua subjecte al dret privat, amb personalitat jurídica pròpia i plena capacitat d'obrar per al compliment de les seves funcions, i té per objecte principal prestar serveis sanitaris públics preventius, assistencials, diagnòstics, terapèutics, rehabilitadors, pal·liatius, de cures i de promoció i manteniment de la salut destinats als ciutadans, de conformitat amb el catàleg de prestacions del Sistema Nacional de Salut i la cartera de serveis aprovada pel Govern de la Generalitat, entre d’altres. D’acord amb això, és un subjecte obligat per la LTAIPBG (art. 3) a tramitar les sol·licituds d’accés a la informació pública i a facilitar-ne, quan s’escaigui, l’accés. Tot i que, com es veurà, la informació pública en general, i també en aquest cas, pot veure’s restringida en alguns aspectes si hi concorren legítimament els límits previstos a la llei com precisament va succeir en aquest assumpte. Un dels aspectes suscitats en la tramitació d’aquesta reclamació es refereix a si la sol·licitud de la informació sobre els accessos dels professionals que han intervingut en la historia clínica del reclamant forma part del contingut propi del dret d’accés a la informació publica regulada la LTAIPBG o bé si es considera que forma part del contingut del règim de garanties pròpies de l’exercici del dret a la protecció de dades de caràcter personal previst al RGPD i altra normativa de desenvolupament, determinat amb aquest anàlisi si la competència per a conèixer d’aquesta reclamació correspon a aquesta Comissió o be a l’autoritat de control en matèria de protecció de dades. El criteri de l’APDCAT com ha manifestat en diverses ocasions “la persona reclamant tindria , d’entrada, dret d’accés respecte de la seva pròpia informació personal, en els termes que preveu l’article 15.1 RGPD”. Però atès que la persona reclamant demana la traçabilitat dels accessos a la seva historia clínica, concretament la identitat dels professionals, rang i categoria professional, d’acord amb l’article 15 RGPD es reconeix el dret de la persona afectada a sol·licitar i obtenir del responsable del tractament una còpia de les seves dades de caràcter personals sotmeses a tractament, “inclosa determinada informació sobre aquest tractament, com ara, als efectes que interessen, els destinataris a qui s’hagi comunicat o es prevegi comunicar aquestes dades ( article 15.1.c RGPD)”. L’Autoritat entén que no podria incloure’s dins del concepte de ”comunicació” els accessos del personal que presta serveis per al propi responsable, i es per això que considera que l’actuació de l’autoritat de control sobre protecció de dades intervindria en el cas en que es consideri que s’ha produït un incompliment ( article 77 RGPD), no abans, i per tal d’emprendre “aquesta o altres accions legals per a la defensa dels seus drets i interessos, la persona reclamant ha de poder accedir a determinada informació sobre els accessos a la seva història clínica. En concret, ha de poder conèixer quins professionals han accedit a la seva informació, per tal de poder corroborar o no les sospites d’accessos indeguts, i constatar una possible irregularitat pel que fa a les mesures que la normativa exigeix al responsable en relació amb la gestió de la història clínica de la reclamant.” I es per això que considera que amb caràcter previ, els accessos a la historia clínica d’un pacient, la persona reclamant hauria de demanar la traçabilitat d’aquests accessos mitjançant el dret d’accés previst a la LTAIPBG, i no pas el dret d’informació que formi part del dret d’accés previst a la norma de protecció de dades ( article 15.1.c) RGPD). No obstant això, aquesta Comissió considera que hi ha una veritable concurrència normativa en la previsió de diferents formes d’accés a la informació sobre la historia clínica i que no només seria d’aplicació el dret previst a la LTAIPBG, sinó que també seria efectiu el corresponent regim de garantia i de protecció sobre les dades personals i que aquesta concurrència d’accessos, disposa d’un regim de tutela i garantia que no és equivalent, sobretot a la vista de les possibilitats de tutela que es preveuen per al supòsit de l’afectació al regim del dret de la protecció de dades personals que és molt més intens que el propi del dret d’accés. En qualsevol cas, caldrà esperar a un aclariment sobre aquesta qüestió, sobretot a la llum de la recent jurisprudència del Tribunal de Justícia de la Unió Europea de 22 de juny (assumpte C-579/21) que analitza, en el context de l’aplicació del RGPD, la petició d’informació relativa a operacions de consulta de dades personals d’una persona, sobre les dates i finalitats d’aquestes operacions, i la sentencia considera que constitueix informació que aquesta persona té dret a obtenir del responsable del tractament amb la deguda ponderació amb els drets d’altres, com són els dels empleats que van dur a terme les operacions sobre les quals es demanava la seva identificació. Mentre no s’aclareixi la dicotomia descrita, el que cal considerar és que efectivament la informació reclamada referent a la traçabilitat dels accessos a la historia clínica de la persona que ho demana forma part del registre o control d’accessos de la historia clínica de que disposa l’ICS, i així aquesta s’ha de considerar que és informació en disposició de l’administració sanitària publica a la qual cal aplicar el regim d’accés previst a la LTAIPBG. D’acord amb això, els límits invocats per a restringir l’accés al coneixement per part del reclamant sobre quins professionals han accedit a la seva historia clínica han estat els relatius a les dades personals dels professionals i per tant, es d’aplicació allò previst als articles 23 i 24 de la LTAIPBG. La informació sobre traçabilitat dels accessos a la historia clínica de la persona reclamant abasta un conjunt d’informació que va més enllà del que es pot entendre com a dades identificatives relacionades únicament amb la organització, el funcionament o l’activitat pública del responsable del tractament, en els termes previstos a l’article 24.1 LTAIPBG, i de l’article 70.2 del Decret 8/2021, de 9 de febrer, sobre transparència i dret d’accés a la informació. Per tant, a banda de la informació sobre la identitat, el rang i la categoria professional dels professionals de l’ICS que hagin accedit, cal tenir en compte que hi ha altra informació, com ara el accessos que s’han produït, la seva data i lloc o, si escau, el motiu pel que s’accedeix a la història clínica i per tant, l’accés a la informació sol·licitada requereix, d’una ponderació prèvia entre l’interès públic en la comunicació de la informació i els drets de les persones afectades (art. 24.2 LTAIPBG). Als efectes de la corresponent ponderació, com s’ha reflectit als antecedents, l’informe de l’APCAT analitza també la regulació de la Llei 21/2000, de 29 de desembre, sobre els drets d'informació concernent la salut i l'autonomia del pacient, i la documentació clínica, i les limitacions especifiques que en aquesta norma s’hi comprenen sobre l’accés de determinats professionals a la historia clínica dels pacients ( articles 2, 9,4, i 11 ) i d’altra banda, recorda que la previsió de l’article 77 RGPD reconeix a l’afectat el dret de reclamar davant l’Autoritat de control en matèria de protecció de dades, quan consideri que s’ha produït un incompliment o infracció de la normativa de protecció de dades que afecta a les seves dades personals, i per fer ús d’aquest procediment, prèviament ha de poder conèixer quins professionals han accedit a la seva informació personal, per poder comprovar els accessos indeguts, i allò que estableix la disposició addicional desena de la LOPDGDD sobre l’habilitació per a la comunicació en base a l’interès legítim de tercers, que en aquest cas seria el propi reclamant. Pel que fa referencia a l’afectació dels drets de les persones afectades per l’accés a la informació pública reclamada, cal ponderar d’acord amb l’article 24.2 LTAIPBG, atès que, com s’ha dit, poden consistir en dades no només identificatives o laborals, sinó que poden fer referència a l’accés amb informació sobre la data, centre on s’ha realitzat, tenint en compte a més que els treballadors poden fer un us privat dels recursos informàtics de forma legitima d’acord amb les polítiques de la institució, tal com recorda l’informe APDCAT. D’altra banda, aquest personal disposarà d’informació prèvia sobre el correcte ús de les histories clíniques i la traçabilitat dels accessos. Cal destacar que al trasllat que s’ha fet als professionals han manifestat que els accessos es produïren amb ocasió de l’exercici de llurs funcions. D’acord amb tot l’exposat l’informe de l’autoritat catalana de protecció de dades conclou que “el dret a la protecció de dades de les persones que hi hagin accedit no justificaria la denegació de l’accés per part de la persona reclamant al registre d’accessos a la seva pròpia història clínica, en concret, conèixer la identitat dels professionals que hi han accedit, rang i categoria professional.” Tot i que es recorda que el principi de minimització de dades previst a l’article 5.1.c) RGPD exigeix que l’accés es limiti a les dades estrictament necessàries i considera proporcionat l’accés a: la identitat, càrrec, categoria o perfil dels professionals que accedeixen a la història clínica i altres dades vinculades com ara la data, l’hora el lloc i motiu de l’accés. En canvi, no considera proporcionat, per tant esdevindria no pertinent, l’accés al DNI, dades de contacte d’aquests professionals o d’altes, que com recorda l’informe, el reclamant no demana. Aquesta Comissió fa avinent que els criteris exposat per l’autoritat de control en matèria de protecció de dades ofereixen elements de ponderació d’aquests límits que permeten concloure que s’ha d’estimar la reclamació en els termes definits per aquesta institució, en el benentès de que encara no s’hagin facilitat per part de la institució sanitària. 3. Obligatorietat dels titulars de documents públics a disposar d’un sistema de gestió (SGD) L’article 7 de la Llei 10/2001, de 13 de juliol, d’arxius i gestió de documents modificada per la Llei 20/2015, de 29 de juliol estableix l’obligatorietat dels titulars de documents públics a disposar d’un sistema de gestió documental (SGD) que garanteixi el tractament correcte dels documents en tot el seu cicle de vida i que permeti complir amb les obligacions de transparència. Un concepte molt ampli que requereix dotar-se d’un seguit d’eines i instruments que permetin la millora dels processos, la seva normalització i estandardització, per tal de garantir el compliment de la normativa i la qualitat de la informació i la implementació de solucions que permetin garantir la correcta gestió de la informació pública. En l’àmbit de la Generalitat, les seves entitats autònomes, empreses públiques i consorcis amb participació majoritària de la Generalitat, el SGD es regula pel Decret 76/1996, de 5 de març, pel qual es regula el sistema general de gestió de la documentació administrativa i l'organització dels arxius de la Generalitat de Catalunya. El capítol X del Reial decret 4/2010, del 8 de gener, pel qual es regula l’Esquema Nacional d’Interoperabilitat en l’àmbit de l’Administració electrònica estableix que les AAPP han d’adoptar les mesures organitzatives i tècniques per a garantir la recuperació i conservació del document electrònic entre aquestes, la definició d’una política de gestió de documents, la inclusió en els expedient d’un índex electrònic signat per l’òrgan o entitat que garanteixi la integritat de l’expedient electrònic i permeti la seva recuperació, la identificació única i inequívoca de cada document que permeti classificar-lo i recuperar-lo, l’associació de metadades, la classificació d’acord amb un quadre de classificació, el període de conservació segons les convencions de cada comissió avaluadora, l’accés complet i immediat dels documents entre d’altres. Pel que fa a gestió de la documentació i arxiu dels documents electrònics, la Disposició Addicional Onzena de la Llei 26/2010, del 3 d'agost, de règim jurídic i de procediment de les administracions públiques de Catalunya estableix que els documents electrònics s'han de gestionar i conservar en expedients electrònics d'acord amb les prescripcions de la normativa en matèria d'arxius i documents; que l’arxiu dels documents i expedients electrònics ha d'assegurar la identitat i la integritat a llarg termini de la informació que contenen; que els documents públics electrònics han de tenir garantides l'autenticitat i la integritat dels continguts, i també la conservació de l'aparença i la funcionalitat originals i, quan escaigui, llur confidencialitat, durant el termini establert per la normativa vigent en matèria d'arxius i documents; que les administracions públiques han d'assegurar la possibilitat de transformar els documents per raons tecnològiques, per a adaptar-ne el format i la sintaxi informàtica a les necessitats de gestió i preservació establertes per la normativa d'arxius i documents; que els sistemes d'informació que utilitzin les administracions públiques incloses en l'àmbit d'aplicació d'aquesta llei han de garantir, sempre que sigui possible, l'autenticitat i la integritat de llurs dades, i també la traçabilitat de les accions que portin a terme; que les dades contingudes en els sistemes d'informació de les administracions públiques es consideren documents públics electrònics, i els són aplicables les disposicions d'aquesta llei relatives a l'arxiu electrònic. Igualment, l’article 67 del El Decret 76/2020, de 4 d'agost, d'Administració digital estableix que el SGD garanteix el compliment de la política de gestió documental i arxiu i que els sistemes d'informació i aplicacions de gestió han d'emprar preferentment les eines de gestió documental corporatives. En cas d'emprar solucions no corporatives, aquestes han de garantir el compliment de les polítiques de gestió documental al llarg de la fase de tramitació i han de ser aprovades d'acord amb l'apartat 2 de l'article 33 d'aquest Decret. L’article 68, relatiu a l’arxiu digital únic, detalla les característiques i condicions per garantir la implementació de les polítiques de gestió documental i el seu compliment. Mereix especial referència per aquest cas concret, l’apartat 2, que determina que aquest arxiu digital únic garanteix “especialment la traçabilitat de l’accés als expedients i documents” entre altres garanties. Tanmateix, la LTAIPBG reconeix els sistemes de gestió de documents públics com a facilitadors de dades i documents autèntics (art. 5.2) i la necessitat d’estructurar la informació seguint criteris temàtics i cronològics, seguint el quadre de classificació documental corporatiu i incorporant-hi índexs o guies de consulta (art. 6.1.d). Altrament, l’article 19.2 de la Llei 9/1993, de 30 de setembre, del patrimoni cultural català que regula els documents que integren el patrimoni documental de Catalunya inclou, entre altres, “els documents produïts o rebuts, en l'exercici de llurs funcions i com a conseqüència de llur activitat política i administrativa, per la Generalitat, pels ens locals i per les entitats autònomes, les empreses públiques i les altres entitats que en depenen” i en conseqüència estan subjectes al Decret 13/2008, de 22 de gener, sobre accés, avaluació i tria de documents que estableix en l’article 11.4 que “quan l'aplicació d'una taula d'avaluació i accés documental comporti l'eliminació de documents, la persona tècnica que porti a terme aquesta aplicació, abans de procedir a la destrucció, ha de: a) Disposar d'un inventari de la documentació a destruir, b) Obtenir l'autorització de la secretaria general o de la direcció de l'organisme o entitat titular de la documentació, c) Comprovar que cap circumstància administrativa o jurídica hagi alterat el termini de conservació fixat per als documents a eliminar” i ha de disposar del corresponent Registre de destrucció de documents (article 12) degudament autoritzat per la secretaria general o la direcció de l’organisme o entitat titular dels documents. Així doncs, atenent a aquests preceptes legals, la informació sol·licitada i reclamada, en el cas que existeixi, ha de formar part de la història clínica que ha d’estar perfectament classificada de manera que permeti la seva recuperació i accés així com del sistema d’informació que ha de garantir l’accés a la informació sol·licitada i reclamada a partir de la traçabilitat dels rols d’accessos al sistema. 4. Seguiment de l’execució L’article 43.5 LTAIPBG estableix que “l’Administració ha de comunicar a la Comissió les actuacions fetes per a executar els acords de mediació i per a donar compliment a les resolucions dictades per la Comissió”. Sobre la base d’aquestes comunicacions i de les efectuades per les persones interessades, la GAIP ha de fer seguiment del compliment de les seves resolucions, d’acord amb el que preveuen els articles 48 i 49 RGAIP i l’apartat 30 del seu Manual de reclamació, i pot adoptar les mesures que s’hi preveuen en cas d’incompliment. L’article 43 LTAIPBG estableix que si l’Administració incompleix el termini establert pels acords de mediació o per les resolucions de la GAIP per lliurar la informació reclamada, les persones interessades ho poden comunicar a la Comissió perquè aquesta en requereixi el compliment; la desatenció d’aquest requeriment, vista la remissió expressa feta a aquest precepte per l’article 77.2.b LTAIPBG, ha de ser qualificada d’infracció molt greu amb relació al dret d’accés a la informació pública (que pot ser sancionada de conformitat amb els articles 81 i 82 LTAIPBG). L’article 49.2 RGAIP preveu que, als efectes anteriors, la Comissió pot posar aquests fets en coneixement dels òrgans competents per ordenar la incoació del procediment sancionador corresponent a què fa referència l’article 86 LTAIPBG. Així mateix, l’article 25.2.k RGAIP preveu la publicació en el web de la Comissió dels casos que els seus requeriments han estat desatesos pels subjectes obligats. 5. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 3 d’agost de 2023, resol per unanimitat : 1. Estimar la Reclamació 317/2023 i declarar el dret de la persona reclamant tenir accés a la informació sobre als accessos a la seva història clínica, inclosa la identitat dels professionals, rang i categoria professional, que hi han accedit d’acord amb els criteris establerts en el fonament jurídic 2. 2. Requerir a l’Institut Català de la Salut que lliuri a la persona reclamant la informació indicada dins el termini màxim de quinze dies, i que informi en aquest mateix termini a la GAIP de l’òrgan o la persona responsable del compliment d’aquesta Resolució, així com de les actuacions dutes a terme per complir-la. 3. Convidar a la persona reclamant que informi a la GAIP de qualsevol incidència que es produeixi amb motiu del compliment d’aquest Resolució. 4. Declarar finalitzat el procediment relatius a al Reclamació 317/2023 i disposar la publicació d’aquesta resolució al web de la GAIP. Iolanda Pineda Balló Presidenta Els terminis establerts en aquesta Resolució per lliurar la informació s’han de comptar en dies hàbils (descomptant festius i dissabtes) i si no s’especifica una altra cosa comencen a partir de l’endemà de la recepció de la seva notificació per l’Administració reclamada. L’Administració obligada pot sol·licitar a la GAIP l’ampliació del termini atorgat per fer efectiu el lliurament de la informació Aquesta sol·licitud només pot ser admesa a consideració si és notificada a la GAIP abans que fineixi el termini fixat a la Resolució, i s’ha de fonamentar en circumstàncies que no hagin pogut ser tingudes en compte per la Comissió abans de dictar la seva Resolució. La GAIP únicament atorgarà l’ampliació sol·licitada, després d’informar-ne a la persona reclamant, si l’Administració obligada ha justificat de forma precisa i consistent la seva necessitat. Si l’Administració obligada no lliura la informació dins del termini establert per aquesta Resolució, la persona reclamant pot posar-ho en coneixement de la GAIP, preferentment per correu electrònic adreçat a [email protected], per tal que la Comissió en requereixi el compliment. Mentre no s’acompleixi plenament la Resolució, la Comissió difondrà al seu web www.gaip.cat l’incompliment de l’Administració obligada, d’acord amb l’article 25.2.k RGAIP. Si l’Administració desatén el requeriment d’execució que li adreci la GAIP, la Comissió posarà els fets en coneixement de l’òrgan competent, d’acord amb allò previst per l’article 86 LTAIPBG, i li sol·licitarà la incoació d’un procediment sancionador per infracció molt greu amb relació al dret d’accés a la informació pública, a l’empara de l’article 77.2.b LTAIPBG. Tot això sens perjudici que la persona reclamant pugui, considerant que aquesta Resolució és un acte administratiu declaratiu de drets que vincula l’Administració, requerir-ne la seva execució davant dels Tribunals, a l’empara de l’article 29.1 de la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa. Aquesta acció es pot interposar després que hagin transcorregut tres mesos des que la persona afectada ha reclamat formalment i directament a l’Administració el compliment d’aquesta Resolució. Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administratiu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa.