Acceso a la trazabilidad de las personas que han accedido a la historia clínica laboral del reclamante

Resolución 2048/2025, de 4 de diciembre

Sentido de la resolución: Estimación parcial

Este expediente, que tiene su causa en un traslado de la Autoridad Catalana de Protección de Datos (APDCAT) a esta Comisión de una reclamación de tutela de derechos, pero que reúne los elementos para ser considerada una petición de información pública, de acuerdo con lo considerado por la sentencia 1641/2024 de 16 de mayo de 2024 del TSJC, reconoce el derecho de acceso solicitado sobre las personas que han accedido a la historia clínica laboral incluida en el programa PREVEN que utiliza el servicio de prevención de riesgos del ICS del reclamante, durante el periodo indicado.

Se constata que la Ley 31/1995, de 8 de noviembre, de prevención de riesgos laborales (LPRL) reconoce al trabajador el derecho de información en materia preventiva (artículos 14.1 y 22.4 LPRL).

Además, esta Comisión coincide con el informe de la APDCAT sobre la coincidencia del contenido del historial médico laboral y lo que podría consistir la historia clínica ordinaria, con la única diferencia del contexto laboral en el cual se inserta y sobre las cautelas en relación con los accesos que de ella se desprenden, dada la diferencia de finalidades a las que podrían atender una y otra historia sanitaria: por una parte, la adopción de medidas a favor de las condiciones de salud del trabajador, como dice la norma, y por otra, otras finalidades incompatibles, si es que se utilizan en el contexto de la relación laboral, las cuales deberían quedar al margen.

Cabe destacar que en esta reclamación la persona reclamante debe poder conocer los accesos en su historia clínica laboral, ya que ha sido atendida por los servicios de prevención de riesgos, para comprobar si, como dice, tiene sospechas de que se han producido de forma indebida y esto puede afectar su situación personal y laboral.

Se concluye la estimación de la reclamación y el reconocimiento del derecho de la persona reclamante a la información solicitada, respecto al periodo de tiempo demandado, del nombre y apellidos de las personas que han accedido a su historia clínica laboral y los apartados a los que han accedido de la misma, pero sin incluir la referencia al DNI, ni los códigos personales de acceso al programa informático.

ANTECEDENTES

El 1 de abril de 2025 entra en la GAIP escrito de la Autoridad Catalana de Protección de Datos (APDCAT) que traslada el expediente correspondiente a la reclamación PT 229/2024, referente al Institut Català de la Salut, que se presentó ante la APDCAT al amparo del procedimiento de tutela de derechos regulado por la normativa de protección de datos personales. Manifiesta que la reclamación no tiene como objeto acceder a información que forme parte del derecho de acceso regulado en esta normativa, sino a otro tipo de información a la cual sería aplicable la Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno. Se tramita copia de la resolución que ha dictado la APDCAT en relación con la reclamación mencionada.

El 18 de noviembre de 2024 el reclamante presentó al Institut Català de la Salut una solicitud en los siguientes términos: “de acuerdo con el artículo 15 de la ley 15/1999, de Protección de datos personales, que según el reclamante reconoce el derecho de acceder de forma clara e inteligible a mis datos de carácter personal incluidos en la historia clínica laboral, a los datos resultantes de cualquier elaboración, proceso o tratamiento de aquellos datos, así como a ser informado del origen de los datos, cesionarios, usos y finalidades para las que se almacenaron, por lo cual solicito: las personas (nombre, apellidos, DNI, códigos personales de entrada al programa informático) y a los apartados que han accedido a mi historia clínica laboral incluida en el programa PREVEN que utiliza el servicio de prevención de riesgos del ICS”. Esta información se pide para el periodo comprendido entre el 1 de noviembre de 2020 hasta el 18 de noviembre de 2024.

El 27 de diciembre de 2024 el reclamante presenta ante la APDCAT reclamación dado que no ha recibido respuesta “respecto a la solicitud del ejercicio del derecho de acceso (trazabilidad) de mi Historia Clínica Laboral registrada en el ICS el día 18/11/2024”.

El 27 de marzo de 2025 la APDCAT resuelve la inadmisión de la reclamación y su traslado a la GAIP considerando, en síntesis:

• “que el objeto de la reclamación no es el derecho de acceso regulado en el artículo 15 del RGPD, dado que la persona afectada no pretende acceder a información sobre sus datos personales, sino a la trazabilidad de sus datos personales y esto podría implicar el acceso a datos de terceros, los cuales hayan accedido a los datos personales de la persona reclamante”;
• “que el acceso a la trazabilidad de los datos incluidos en el programa Preven no está comprendido dentro del ámbito de competencia de la Autoridad, como sí lo es el acceso a la trazabilidad de las historias clínicas de acuerdo con el criterio aprobado entre la APDCAT y la GAIP.” Que el criterio de interpretación sobre la aplicación de las normas reguladoras y la tramitación de las reclamaciones de acceso de las personas a la trazabilidad de su historia clínica, el cual se ciñe al acceso a la trazabilidad de la historia clínica acordado entre la APDCAT y la GAIP el 30 de julio de 2024, no se puede interpretar de forma extensiva y equiparar el acceso a la trazabilidad al programa Preven que permite gestionar la prevención de riesgos laborales.
• “se considera que el órgano competente para atender la reclamación planteada es la GAIP.” dado que “el artículo 18 de la LTC reconoce el derecho de cualquier persona a acceder a la información pública que está en poder de las administraciones públicas.” Y le corresponde valorar el derecho de acceso a la información solicitada por la persona reclamante.

El 27 de mayo de 2025 la GAIP comunica la Reclamación al Institut Català de la Salut (ICS) y le requiere que, dentro del plazo de quince días establecido por el artículo 33.4 RGAIP, le remita un informe sobre la Reclamación, así como copia del expediente de la solicitud de información de la cual deriva y, en general, de los antecedentes que puedan ser relevantes para resolver la Reclamación.

El 27 de mayo de 2025 la GAIP admite provisionalmente la Reclamación, informa a la persona reclamante sobre los aspectos más relevantes de su tramitación y de la posición jurídica que ostenta como persona interesada, de conformidad con la legislación de procedimiento administrativo y la de transparencia y acceso a la información pública. Le pide especialmente que informe a la GAIP inmediatamente de las comunicaciones que reciba de la Administración reclamada relativas a la información pública solicitada mientras dure la Reclamación.

El 18 de junio de 2025 la GAIP recibe informe del ICS que manifiesta que “El ICS no dispone de ningún expediente administrativo de SAIP porque no existe ninguna SAIP formulada por la persona reclamante ante el ICS ni, por tanto, expediente de SAIP que el ICS pueda aportar. El único expediente existente sobre el objeto de la reclamación que nos ocupa es el que adjunta a la reclamación la persona reclamante (técnico superior en prevención de riesgos laborales al servicio del ICS), relativo a su solicitud de fecha 18/11/2024, de ejercicio del derecho de acceso (trazabilidad) de su HISTORIA CLÍNICA LABORAL (con estos claros e inequívocos términos y empleando esta grafía lo pide en la solicitud), solicitud que no fue resuelta por el ICS, dando lugar a la formulación de la reclamación de tutela de derechos 229/2024 ante la APDCAT. El ICS no dispone de más documentación sobre esta solicitud que la anexada en la reclamación. La persona reclamante nunca formuló una SAIP ni quería hacerlo, no quería ejercer este derecho ni quería acceder a información pública, solo quería acceder a la trazabilidad interna (identificación de los empleados del ICS que acceden) de su historia clínica laboral contenida en la aplicación PREVEN, aplicación de gestión de la base de datos de salud laboral que el SPRL del ICS utiliza para ejercer sus competencias en la materia. Por este motivo el reclamante no empleó el formulario específico de SAIP, que en aplicación de lo que establece el artículo 66.6 de la Ley 39/2015 de LPACAP, es de obligado uso, obligación “formal” establecida en norma estatal básica de rango legal que debería vincular a la GAIP como lo hace a la de la Generalitat, de acuerdo con los criterios fijados por la Dirección de Servicios Consultivos y Coordinación Jurídica del Gabinete Jurídico en la “Nota sobre las consecuencias de incumplir la obligación de utilizar modelos o formularios específicos”, copia de la cual adjuntamos. No tenemos por qué dudar que la persona reclamante cumplió con esta obligación y, por tanto, que empleó el formulario telemático que procedía (“Solicitud del ejercicio del derecho de acceso (trazabilidad)”, ya que el objeto de su pretensión era obtener la trazabilidad interna de su historia clínica laboral, en ningún caso ejercer el derecho de acceso a la información pública. La utilización para formular la SAIP de un formulario específico que no era el de SAIP confirma que no somos ni hemos estado nunca ante ninguna SAIP.”

• Con la reclamación se anexaba copia completa de un expediente de reclamación de tutela de derechos ante la APDCAT con número PT229/2024 que finalizó por resolución de dicha autoridad de fecha 27/03/2025, en la cual la APDCAT resuelve la inadmisión de la reclamación de tutela de derechos y el traslado de la reclamación a la GAIP, notificando la resolución al ICS y a la persona reclamante.
• En esta resolución la APDCAT considera que no es la autoridad competente para atender la reclamación (formulada contra el silencio del ICS en relación con la solicitud de fecha 18/11/2024, de ejercicio del derecho de acceso -trazabilidad de su HISTORIA CLÍNICA LABORAL-). La APDCAT considera correctamente que la persona reclamante quiere acceder a información de datos personales de terceros (como habitualmente se pide en los casos de trazabilidad interna de las HC), pero que en cuanto esta trazabilidad de accesos no se proyecta sobre datos personales de salud contenidos en una historia clínica, el supuesto no está previsto en los criterios interpretativos aprobados por la GAIP y la APDCAT en fecha 30/07/2024 sobre la aplicación de las normas reguladoras y la tramitación de las reclamaciones de acceso de las personas a la trazabilidad de su historia clínica y, por tanto, no es “el órgano competente” (término literal que emplea la propia APDCAT en el penúltimo párrafo de la página 3 de su resolución) para resolver la reclamación.
• Lamentamos no poder compartir la valoración que hace al respecto en el expediente de la APDCAT el Coordinador de Protección de Datos del ICS, ni la motivación expuesta por la APDCAT para concluir su incompetencia y derivar la reclamación a la GAIP basándose, exclusivamente, en la asunción acrítica de aquella valoración: la información de salud laboral de los empleados del ICS contenida en la aplicación PREVEN es, desde el punto de vista material y legal, HISTORIA CLÍNICA (PROFESIONAL O LABORAL, PERO HISTORIA CLÍNICA A TODOS LOS EFECTOS).
• De la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, se deduce que la historia clínica de un trabajador, en el contexto de la salud laboral, es un determinado tipo de historia clínica, en cuanto recoge los datos, valoraciones e informes sobre la situación y evolución clínica de los trabajadores en el entorno laboral, recogiendo los datos que permiten adquirir o ampliar conocimientos sobre el estado físico y la salud de una persona, o la forma de preservarla, cuidarla, mejorarla o recuperarla. La historia clínica laboral también comprende el conjunto de los documentos relativos a los procesos asistenciales de cada trabajador, con la identificación de los médicos y los demás profesionales que hayan intervenido en ellos. Esto significa que a la HC laboral se le aplican las mismas normas y principios que a la historia clínica de cualquier paciente, incluyendo el derecho a la confidencialidad, acceso y custodia, entre otros. Así, en cuanto a su elaboración y contenidos, la historia clínica laboral, al igual que la historia clínica general, debe ser elaborada de manera clara, legible y completa, conteniendo toda la información relevante sobre la salud del trabajador, tanto en lo que respecta a su actividad laboral como a su estado de salud general. Debe incluir datos sobre la exposición a riesgos laborales, resultados de evaluaciones médicas, informes de vigilancia de la salud y cualquier otra información relevante para el seguimiento de su estado de salud en relación con el trabajo. La historia clínica laboral es fundamental para la gestión de la salud y seguridad en el trabajo, permitiendo la identificación temprana de problemas de salud relacionados con el trabajo, la implementación de medidas preventivas y la evaluación de la eficacia de estas. Además, garantiza el derecho del trabajador a conocer su estado de salud y a recibir la atención médica necesaria. Más allá de la Ley 41/2002, que afecta a todas las HC, cabe tener en cuenta el resto de normativa sectorial relevante que afecta a las HC laborales, como la Ley 31/1995, de prevención de riesgos laborales y el Real Decreto 39/1997, por el que se aprueba el Reglamento de los Servicios de Prevención. Estas normas jurídicas establecen los requisitos y los procedimientos para la evaluación de riesgos, la vigilancia de la salud y la gestión de la información clínica en el ámbito laboral y, en cuanto a las HC laborales, completan los requisitos, contenido y configuración que para todas las HC en general establece la Ley 41/2002. En este sentido, algunas CCAA han regulado cuál debe ser el contenido de las historias clínicas laborales (ver Orden de 7 de julio de 1999, de la historia clínico laboral, de Castilla la Mancha, copia de la cual se adjunta). La jurisprudencia del Tribunal Supremo también ubica los datos asistenciales recopilados en ejercicio de las obligaciones de vigilancia de la salud por parte del empresario en materia de salud laboral de los trabajadores, en el ámbito de las historias clínicas (STS de 20/10/2009, copia de la cual se adjunta). Finalmente, la normativa sectorial específica sobre vigilancia de la salud laboral, que despliega el artículo 22 de la LPRL, como el Real Decreto 664/1997, de 12 de mayo, sobre riesgos por exposición a agentes biológicos, contempla la existencia de historias clínicas laborales. Así, se establece en el artículo 4 de este Real Decreto que “Deberá llevarse un historial médico individual de los trabajadores objeto de vigilancia sanitaria”, mientras que en el artículo 9 establece que “El empresario está obligado a disponer de: La documentación sobre los resultados de la evaluación a que se refiere el artículo 4º así como los criterios y procedimientos de evaluación y los métodos de medición, análisis o ensayo utilizados. Una lista de los trabajadores expuestos en la empresa a agentes biológicos de los grupos 3 y 4, indicando el tipo de trabajo efectuado y el agente biológico al que hayan estado expuestos, así como un registro de las correspondientes exposiciones, accidentes e incidentes. El empresario deberá adoptar las medidas necesarias para la conservación de un registro de los historiales médicos individuales, previstos en el apartado 5) del artículo 8º del presente Real Decreto, sin perjuicio de lo dispuesto en el artículo 22 de la Ley de Prevención de Riesgos Laborales. La lista de los trabajadores expuestos y los historiales médicos deberán conservarse durante un plazo mínimo de diez años después de finalizada la exposición;...”. Y el artículo 11 establece, en relación con la obligación de informar a las autoridades sanitarias competentes, que “... La lista mencionada en el párrafo b) del apartado 1. del art. 9º y los historiales médicos a que se refiere el apartado 5. del artículo 8º, deberán remitirse a la autoridad laboral en caso de que la empresa cese en su actividad. Los historiales médicos serán remitidos por la autoridad laboral a la sanitaria, quien los conservará, garantizándose, en todo caso, la confidencialidad de la información en ellos contenida. En ningún caso la autoridad laboral conservará copia de los citados historiales.” En términos similares el Real Decreto 665/1997, de 12 de mayo, modificado por el Real Decreto 1.124/2000, de 16 de junio; Real Decreto 598/2015, de 3 de julio y Real Decreto 349/2003, de 21 de marzo, establece en su artículo 8, relativo a la vigilancia de la salud de los trabajadores, que “Deberá llevarse un historial médico individual de los trabajadores afectados.”, y el artículo 9 establece que “El empresario deberá adoptar las medidas necesarias para la conservación de los historiales médicos individuales previstos en el apartado 3 del artículo 8º del presente Real Decreto, sin perjuicio de lo dispuesto en el artículo 22 de la Ley de Prevención de Riesgos Laborales. Tanto la lista mencionada en el apartado 1. Anterior como los historiales médicos mencionados en el apartado 2., deberán conservarse durante cuarenta años después de terminada la exposición, remitiéndose a la autoridad laboral en caso de que la empresa cese en su actividad antes de dicho plazo. Los historiales médicos serán remitidos a la autoridad laboral a la sanitaria, quien los conservará, garantizándose en todo caso la confidencialidad de la información en ello contenida. En ningún caso la autoridad laboral conservará copia de los citados historiales.” También el Real Decreto 783/2001, de 6 de julio, sobre riesgos derivados de radiaciones ionizantes prevé en su artículo 44 un historial médico cuando dice que “A cada trabajador expuesto de categoría A le será abierto un historial médico que se mantendrá actualizado durante todo el tiempo que el interesado pertenezca a dicha categoría, y que habrá de contener, al menos, las informaciones referentes a la naturaleza del empleo, los resultados de los exámenes médicos previos a la contratación o clasificación como trabajador de categoría A, los reconocimientos médicos periódicos y eventuales, y el historial dosimétrico de toda su vida profesional. Estos historiales médicos se archivarán hasta que el trabajador haya o hubiera alcanzado los 75 años de edad y, en ningún caso, durante un periodo inferior a 30 años después del cese de la actividad, en los Servicios de Prevención que desarrollen la función de vigilancia y control de la salud de los trabajadores correspondientes a los centros en los que aquellas personas presten o hayan prestado sus servicios, y estarán a disposición de la autoridad competente y del propio trabajador.” Por todos estos motivos y, adicionalmente, en aplicación de los propios criterios interpretativos aprobados por la GAIP y la APDCAT en fecha 30/07/2024 sobre la aplicación de las normas reguladoras y la tramitación de las reclamaciones de acceso de las personas a la trazabilidad de su historia clínica, la APDCAT nunca debería haber inadmitido y derivado a la GAIP la reclamación de tutela de derechos 229/2024 ni la GAIP debería asumirla ahora, ya que los datos de trazabilidad a los que se quiere acceder son datos contenidos en una historia clínica (laboral).
• Por otra parte, resulta sorprendente el cambio de criterio copernicano que la APDCAT aplica en este caso, cuando en un caso idéntico de trazabilidad interna de la HC laboral del PREVEN (Reclamación a la GAIP 44/2022, informe APDCAT de 3/03/2023, Resolución de la GAIP 785/2022, de 22 de septiembre) la APDCAT no puso en cuestión en su informe que la información de salud laboral contenida en la aplicación PREVEN del ICS no fuera una HISTORIA CLÍNICA LABORAL, a todos los efectos. Si la GAIP en resolver aquella reclamación tampoco cuestionó en ningún momento que no se tratara de trazabilidad de accesos a una HC, sería igualmente incongruente que ahora cambie de criterio sin una fundamentación legal clara (fundamentación que no puede ser, con todo respeto, el criterio expresado por el coordinador de protección de datos (CPD) del ICS, en base al cual la APDCAT justifica la renuncia al ejercicio de su competencia) que le llevara a concluir, tres años después y sin ningún cambio normativo de por medio que lo justifique, lo contrario.
• Los criterios interpretativos aprobados por la GAIP y la APDCAT en fecha 30/07/2024 sobre la aplicación de las normas reguladoras y la tramitación de las reclamaciones de acceso de las personas a la trazabilidad de su historia clínica son solo la exteriorización del criterio interpretativo coordinado y conjunto que ambas autoridades sostienen en relación con el alcance y aplicación de sus propias competencias en un determinado ámbito. No son normas jurídicas ni pueden, por tanto, modificar la atribución de competencias del legislador contenidas en las normas jurídicas que las crean y establecen sus competencias. La irrenunciabilidad e indisponibilidad de la competencia administrativa significa que una entidad administrativa no puede acordar con otra renunciar, transferir o alterar su propia competencia. El principio de legalidad establece que las entidades administrativas deben actuar con sujeción a los límites competenciales que les otorgan las leyes, y estas no contemplan que a partir de un acuerdo interno entre dos autoridades de control, estas puedan redistribuirse las competencias atribuidas a cada una por el legislador en las normas jurídicas. Estos criterios interadministrativos vinculan a las autoridades que los suscriben, pero hacia la ciudadanía tienen un valor meramente informativo, para dar a conocer previamente cómo actuarán aquellas autoridades que los han suscrito cuando afronten determinadas reclamaciones.

Por tanto, incluso en el caso negativo de que se entendiera que la petición formulada por el reclamante en este caso abarcaba la obtención de datos personales identificativos de terceros que no se contienen en una historia clínica porque el PREVEN no lo sería (hecho negado por el ICS), no se puede concluir que por la falta de inclusión de este tipo de trazabilidad entre los supuestos objeto de los criterios interpretativos de 30/07/2024 (limitados a la trazabilidad de las HC), se deba concluir inexorablemente la incompetencia de la APDCAT para resolver sobre una trazabilidad interna por esta simple circunstancia.

Al contrario, los datos identificativos de los terceros que han accedido al PREVEN o a la HC del ECAP o a la HC compartida son el objeto de peticiones de trazabilidad interna y en las cuales se pide acceder a la misma: la identificación de los terceros empleados del responsable del tratamiento de los datos que hayan accedido a datos personales de salud del reclamante (en este caso ni siquiera variaría el tipo de datos personales a los que han accedido en cada caso, datos de salud). Si es así, no parece lógico en términos de una asunción competencial congruente que debería tratar por igual peticiones plenamente equiparables: que la competencia de la APDCAT se reconozca cuando los datos a los que han podido acceder estos terceros son los de la HC del reclamante, y se niegue cuando los datos a los que han accedido estos terceros son también datos personales de salud especialmente protegidos que no se contienen en una HC (como entiende la APDCAT que sería el caso de los contenidos en el PREVEN y el ICS niega).

Ambos tipos de accesos son accesos a datos personales de salud (ahora ambos sometidos a un mismo Reglamento europeo) y la reclamación de su trazabilidad interna debería recaer en una misma autoridad de control, que debería ser la APDCAT, en cuanto estos accesos a datos identificativos de los empleados del responsable del tratamiento SÍ forman parte del derecho de acceso del RGPD, como el legislador de la UE ha confirmado indudablemente al regular recientemente, como una modalidad específica del derecho de acceso del artículo 15 del RGPD, el derecho a la trazabilidad interna de los datos de salud (Reglamento UE 2025/327 del Parlamento Europeo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud, artículo 9). Estamos en todos estos supuestos de trazabilidad interna sobre el acceso de terceros a bases de datos personales de salud, en el ámbito material de la protección de datos personales y del derecho de acceso a datos personales (que en sí mismo también constituye un régimen específico de acceso ex. apartado 2 de la Disp. Add. 1ª de la LTAIPBG), no en el ámbito material ni competencial del ejercicio del derecho de acceso a la información pública.

Por lo tanto, no deja de ser competencia de la APDCAT resolver esta reclamación también en el caso negativo (reiteramos) de que se entendiera que los datos del PREVEN no constituyen una HC. Los mismos fundamentos jurídicos que llevaron a la APDCAT a considerarse competente en materia de trazabilidad interna de las historias clínicas (considerar estos accesos como una modalidad específica del derecho de acceso del RGPD) serían aplicables cuando se solicita la trazabilidad interna de cualquier otra base de datos de salud laboral como es en este caso el PREVEN.

En cualquier caso, en el caso negativo de que la GAIP considere que procede tramitar y resolver el fondo de la reclamación, será necesario proceder a la identificación de los terceros que accedieron al PREVEN (en caso de que técnicamente se pudieran identificar estos accesos), en cuanto las personas que los hubieran podido hacer serían terceros afectados y la GAIP debería citarlos en plazo para que pudieran formular alegaciones antes de resolver.

El 29 de julio de 2025 la GAIP solicita informe a la Autoridad Catalana de Protección de Datos de acuerdo con el artículo 42.8 LTAIPBG dado que la información solicitada comprende documentación que contiene datos personales.

El 24 de octubre de 2025 la GAIP recibe informe de la APDCAT que concluye: “La normativa de protección de datos no impide comunicar a la persona reclamante la información que solicita, limitada al nombre y apellidos de las personas que han accedido a su historia clínica laboral y los apartados a los que han accedido de la misma, sin incluir los números de DNI ni los códigos personales de acceso al programa informático.”

FUNDAMENTOS JURÍDICOS

1. Competencia de la GAIP y contenido y alcance general del derecho de acceso a la información pública

De acuerdo con el artículo 39.1 LTAIPBG y 29 del RGAIP, esta Comisión es competente para tramitar y resolver esta Reclamación. El artículo 2.b y c LTAIPBG definen la información pública y prevén el derecho de acceso a las personas para solicitarla y obtenerla que, de acuerdo con el artículo 18.1 LTAIPBG, tanto a título individual o en nombre y representación de cualquier persona jurídica legalmente constituida.

El artículo 20 LTAIPBG prevé los requisitos y criterios para la aplicación de los límites legales al derecho de acceso a la información pública, indicando que la Administración no dispone de potestad discrecional y debe indicar en cada caso los motivos que lo justifiquen. Los artículos 21 y 22 LTAIPBG establecen que estos límites no son de aplicación automática y absoluta y deben ser aplicados de acuerdo con criterios de proporcionalidad y temporalidad y deben atender a las circunstancias de cada caso concreto, especialmente la concurrencia de un interés público o privado superior que justifique el acceso a la información.

La reclamación tiene por objeto el acceso a la información sobre las personas que han accedido a la historia clínica laboral de la persona reclamante, incluida en el programa PREVEN utilizado por el servicio de prevención de riesgos laborales del ICS. En concreto, la persona reclamante pide que se le facilite la siguiente información: “las personas (nombre, apellidos, DNI, códigos personales de entrada al programa informático) y a los apartados que han accedido a mi historia clínica laboral incluida en el programa PREVEN que utiliza el servicio de prevención de riesgos del ICS”.

Tal como se desprende de los antecedentes, el inicio del conocimiento por la GAIP de esta reclamación tiene su origen en una derivación realizada por la APDCAT al considerar que la reclamación no tenía como objeto acceder a información de acuerdo con el RGPD, sino a otro tipo de información a la cual sería aplicable la LTAIPBG, inadmitiendo la reclamación y trasladándola a la Comisión de Garantía del Derecho de Acceso a la Información Pública.

Se recuerda que el criterio de interpretación sobre la aplicación de las normas reguladoras y la tramitación de las reclamaciones de acceso de las personas a la trazabilidad de su historia clínica aprobado por la APDCAT y la GAIP en fecha 30 de julio de 2024, se refiere al acceso a la trazabilidad de la historia clínica, de la siguiente manera:

“En relación con el acceso de las personas a la trazabilidad de su historia clínica, se considera de aplicación preferente la normativa de protección de datos, contenida en el Reglamento (UE) 2016/679, del Parlamento y del Consejo Europeo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). A la hora de interpretar y resolver estas solicitudes de acceso, en el marco de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, y la Ley catalana 21/2000, de 29 de diciembre, sobre los derechos de información concernientes a la salud y la autonomía del paciente, y la documentación clínica, y el resto de la normativa aplicable, estas normas constituyen el régimen especial sobre la materia y la LTAIPBG es de aplicación con carácter supletorio, de acuerdo con su disposición adicional primera, número 2. En coherencia con lo anterior, corresponde a la APDCAT resolver las solicitudes de derechos de acceso de las personas a la trazabilidad de su historia clínica, en el marco de la normativa indicada en el apartado anterior.”

Pero la APDCAT entiende que el supuesto planteado no se ajusta a lo previsto en el artículo 15 del RGPD y que el órgano competente para resolver las reclamaciones de las solicitudes en las cuales se pide el acceso a la trazabilidad a la historia clínica es la Autoridad, pero que no se puede interpretar de forma extensiva el criterio y equiparar este acceso a la trazabilidad al programa Preven que permite gestionar la prevención de riesgos laborales. Es por este motivo que considera que corresponde a la GAIP atender la reclamación planteada, sobre todo ante el carácter supletorio previsto en la LTAIPBG y recogido en el propio criterio.

De acuerdo con esta interpretación, en consecuencia, la petición presentada que demandaba conocer el detalle de los accesos a su historia clínica laboral podría considerarse que, de acuerdo con la supletoriedad prevista en la Disposición adicional primera de la LTAIPBG, la GAIP puede conocer sobre este asunto.

Se recuerda que en estos casos, de petición de acceso a la historia clínica, o específicamente en este sobre el acceso a la historia clínica de la salud laboral, se produce una concurrencia entre los dos ámbitos de regulación, como son el de la protección de datos personales y el de el acceso a la información pública, como ya ha tenido ocasión de reconocer el Tribunal Superior de Justicia de Cataluña, en un caso equivalente, sobre trazabilidades de historias clínicas.

En la Sentencia 1641/2024 de 16 de mayo de 2024, se consideró sobre la competencia de la GAIP y de la APDCAT lo siguiente:

“siguiendo los precedentes de esta Sección (verbi gratia, nuestra reciente sentencia nº 720/24 de 5.3.24 dictada en recurso nº 60/2022 pero referida a otro tipo de informaciones requeridas), así como los dictados por la propia Autoridad Catalana de Protección de Datos, en sus resoluciones, informes y dictámenes (por todos, PT 58/2021, CNS 53/2019 y IAI 5/2022), y consideramos en tal sentido, que, lo que aquí es objeto de controversia, tiene su encaje, no tanto (que también) en el genérico art 15 del Reglamento comunitario de protección de datos, sino en la normativa específica sobre transparencia (derecho de acceso, en especial, derecho a conocer el origen de quienes acceden, art 15.1.g) Reglamento de la UE ya dicho), prevista, en nuestro caso, en la Ley catalana 19/2014, de 29 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, si bien es palmario que tanto el ICS, como el SCS, como el propio Departament de Salut de la Generalitat de Catalunya, cada uno de ellos en sus respectivos ámbitos, son responsables de las bases de datos (ficheros) que tales organismos almacenen. Siendo evidente, a mayor abundamiento, que la GAIP es una autoridad de control, neutral, en el acceso y protección de informaciones y datos de carácter personal.”

A la vista de este reconocimiento, esta Comisión constata también que debe hacer uso de la supletoriedad prevista en la disposición adicional primera, apartado primero de la LTAIPBG para atender necesariamente la petición formulada, que si no quedaría frustrada como consecuencia de una decisión debida a las autoridades de garantía que concurren en este ámbito. La dificultad competencial de determinar cuál es la autoridad competente para conocer esta pretensión no debe dar lugar a un perjuicio al reclamante.

Es por ello que esta Comisión entiende que, ante la decisión de la APDCAT de no considerarse competente para atender la reclamación presentada, asume el conocimiento de su pretensión dado el carácter supletorio del régimen previsto sobre el derecho de acceso a la información pública en la LTAIPBG. En lo que respecta a la pretensión inicial presentada ante el ICS, se considera que reúne los elementos formales suficientes para ser considerada también como una solicitud de acceso a la información pública en los términos previstos en la LTAIPBG.

Finalmente, también se debe manifestar, como la propia APDCAT expone que “la legislación en materia de protección de datos impone al responsable del tratamiento la obligación de adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales tratados, incluida la protección contra el tratamiento no autorizado o ilícito (arts. 5 y 24 RGPD). Al mismo tiempo, reconoce al afectado el derecho a presentar una reclamación ante, en este caso, esta Autoridad cuando se considere que se ha producido un incumplimiento o infracción de la normativa de protección de datos que afecta al tratamiento de sus datos personales (art. 77 RGPD), como sería el caso de haber producido un acceso indebido a los datos de su historia clínica laboral. Esto, sin perjuicio de poder emprender otras acciones legales que considere oportunas.”

2. Sobre el derecho de acceso a la información pública solicitada y límites

En cuanto a la información reclamada y no entregada, cabe tener en cuenta lo siguiente: la información solicitada y reclamada, dadas las consideraciones contenidas en el apartado anterior, se considera que puede corresponder, como ha afirmado la sentencia mencionada del TSJC, con información pública de acuerdo con lo previsto en el artículo 2.b LTAIPBG, información pública.

La petición sobre los accesos a la historia clínica PREVEN que dispone el ICS es “información elaborada por la Administración y la que esta tiene en su poder como consecuencia de su actividad o del ejercicio de sus funciones, incluida la que le suministran los otros sujetos obligados de acuerdo con lo que establece esta ley”. Cabe tener en cuenta que el artículo 53.1 DTAIP incluye “cualquier dato o documento que las administraciones públicas hayan elaborado, posean, o puedan legítimamente exigir a terceros como consecuencia de su actividad o del ejercicio de sus funciones”.

En las alegaciones formuladas por el ICS se hace hincapié en que la historia clínica del sistema PREVEN de salud laboral, sobre el cual se pide el acceso a la información, no debería tener una consideración diferente a la prevista, en general, para las historias clínicas propias de una prestación sanitaria. Esta Comisión coincide con este parecer y precisamente por esta equivalencia respecto a la información solicitada sobre una historia clínica en general, se considera que debe reconocerse el mismo derecho de acceso a la petición de información de las historias clínicas de salud laboral como la que ahora se pide, cuando no hacen referencia a los aspectos de la salud laboral.

En este sentido, la APDCAT destaca la previsión del artículo 14.1 de la Ley 31/1995, de 8 de noviembre, de prevención de riesgos laborales (LPRL), sobre el derecho del trabajador a obtener información en materia preventiva, y aunque no se concreta específicamente cuál es el alcance específico de este derecho, este puede deducirse de lo contenido en el artículo 22.4 de la misma ley LPRL.

Efectivamente, el artículo 14.1 LPRL prevé que:

“Los trabajadores tienen derecho a una protección eficaz en materia de seguridad y salud en el trabajo. (…). Los derechos de información, consulta y participación, formación en materia preventiva, paralización de la actividad en caso de riesgo grave e inminente y vigilancia de su estado de salud, en los términos previstos en la presente Ley, forman parte del derecho de los trabajadores a una protección eficaz en materia de seguridad y salud en el trabajo.”

A su vez, el artículo 22.4 de la LPRL establece:

“Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva.(…).”

Se afirma que esta previsión “concretan los accesos que se pueden producir a las historias clínicas laborales (personal médico y autoridades de vigilancia de la salud) y condicionan el resto de comunicaciones que se puedan producir al consentimiento expreso del propio trabajador. Parece razonable concluir que si la normativa reconoce al titular de la historia clínica laboral este poder de disposición, en el sentido de poder decidir quién podrá acceder, este mismo titular debe poder conocer no solo la información sobre su salud que consta sino también qué accesos se producen.”

Esta Comisión coincide con la afirmación de la APDCAT e incluso detecta la coincidencia del contenido que este historial médico puede tener si se compara con la historia clínica ordinaria, con la única diferencia del contexto laboral en el cual se inserta y de las cautelas sobre los accesos que de ella se desprenden, dada la diferencia de finalidades a las que podrían atender: por una parte, la adopción de medidas a favor de las condiciones de salud del trabajador, como dice la norma, y por otra, otras finalidades incompatibles si es que se utilizan en el contexto de la relación laboral y que su acceso debería quedar al margen.

Cabe destacar que en esta reclamación la persona reclamante debe poder conocer los accesos en su historia clínica laboral, ya que ha sido atendida por los servicios de prevención de riesgos, para comprobar si, como dice, tiene sospechas de que se han producido de forma indebida y esto puede afectar su situación personal y laboral.

Esta comprobación sería totalmente necesaria respecto al cumplimiento de las obligaciones del responsable del tratamiento, de acuerdo con la legislación en materia de protección de datos, para adoptar las medidas técnicas y organizativas imprescindibles para garantizar la seguridad de los datos personales tratados, incluida la protección contra el tratamiento no autorizado o ilícito (arts. 5 y 24 RGPD).

Respecto a la afectación de datos de terceros que pueda suponer atender el derecho de acceso solicitado, concretamente de profesionales de la entidad que hayan accedido a la historia clínica laboral de la persona reclamante, los datos de los cuales puedan constar en el registro de accesos a efectos de trazabilidad, la APDCAT reconoce que serían accesibles los datos identificativos o laborales (identidad, lugar de trabajo, categoría o perfil profesional), y también los relativos al propio acceso (fecha, hora y lugar de acceso).

Así entiende que: “En relación al posible perjuicio que se pueda producir por la comunicación de sus datos, hay que tener en cuenta que las personas que han accedido a la historia clínica laboral no sufren ningún perjuicio significativo por el hecho de que su identidad sea comunicada a la persona reclamante. Si el acceso ha sido legítimo, en el ejercicio de sus funciones profesionales, la información revelada solo hace referencia a datos de carácter profesional y no afecta a su privacidad. En cambio, si el acceso no ha sido legítimo, difícilmente pueden ampararse en la protección de su identidad para ocultar una actuación indebida.”

Y concluye que: “En el contexto que nos ocupa, la trazabilidad de los accesos a las historias clínicas resulta una medida necesaria para asegurar la protección de la información que contiene.”

Esta Comisión comparte el criterio mencionado y, además, destaca la importancia en el supuesto analizado de este mecanismo de protección para la tutela de derechos e intereses del afectado y su vinculación con la preservación de la transparencia del derecho de acceso a la información pública.

Como recuerda la APDCAT, la petición y reclamación “se produce en un contexto en el cual el responsable del tratamiento deberá haber informado (y formado) a sus trabajadores sobre la gestión correcta de las historias clínicas laborales (entre otros, sobre la imposibilidad de llevar a cabo accesos no justificados y de las consecuencias de un incumplimiento en este sentido), entre otros, porque así se desprende del artículo 22.2 LPRL, y de los principios mencionados de la normativa de protección de datos. Y se concluye que el derecho a la protección de datos de las personas que hayan accedido no justificaría la denegación del acceso por parte de la reclamante al registro de accesos a su propia historia clínica laboral, incluyendo la identidad y el cargo o categoría (o otros datos vinculados al acceso como la fecha, la unidad, el centro y la población desde la que se produce el acceso, y el motivo del acceso) de las personas que han realizado los accesos.”

Es por ello que esta Comisión concluye estimar la reclamación y reconocer el derecho de acceso del reclamante a obtener información sobre los accesos a su historia clínica laboral -PREVEN. Concretamente, la información debería consistir en conocer la identidad y el cargo o categoría (o otros datos vinculados al acceso como la fecha, la unidad, el centro y la población desde la que se produce el acceso, y el motivo del acceso) de las personas que han realizado los accesos. Es decir, se reconoce el derecho de acceso al nombre y apellidos de las personas que han accedido a su historia clínica laboral y los apartados a los que han accedido de la misma, sin incluir los números de DNI ni los códigos personales de acceso al programa informático. Esta información debería referirse al periodo solicitado, entre el 1 de noviembre de 2020 y el 18 de noviembre de 2024.

3. Seguimiento de la ejecución

El artículo 43.5 LTAIPBG establece que “la Administración debe comunicar a la Comisión las actuaciones realizadas para ejecutar los acuerdos de mediación y para dar cumplimiento a las resoluciones dictadas por la Comisión”. Sobre la base de estas comunicaciones y de las realizadas por las personas interesadas, la GAIP debe hacer seguimiento del cumplimiento de sus resoluciones, de acuerdo con lo previsto en los artículos 48 y 49 RGAIP y el apartado 30 de su Manual de reclamación, y puede adoptar las medidas previstas en caso de incumplimiento.

El artículo 43 LTAIPBG establece que si la Administración incumple el plazo establecido por los acuerdos de mediación o por las resoluciones de la GAIP para entregar la información reclamada, las personas interesadas pueden comunicarlo a la Comisión para que esta requiera su cumplimiento; la desatención de este requerimiento, vista la remisión expresa hecha a este precepto por el artículo 77.2.b LTAIPBG, debe ser calificada como infracción muy grave con relación al derecho de acceso a la información pública (que puede ser sancionada de conformidad con los artículos 81 y 82 LTAIPBG).

Asimismo, el artículo 25.2.k RGAIP prevé la publicación en la web de la Comisión de los casos en que sus requerimientos hayan sido desatendidos por los sujetos obligados.

4. Publicidad de las resoluciones de la GAIP

El artículo 44 LTAIPBG prevé que las resoluciones de la GAIP deben publicarse en el portal de la Comisión previsto en el artículo 25 RGAIP, con la previa disociación de los datos personales.

RESOLUCIÓN

Sobre la base de los antecedentes y fundamentos jurídicos expuestos, el Pleno de la GAIP, en la sesión de 4 de diciembre de 2025, resuelve por unanimidad:

1. Estimar parcialmente la Reclamación 518/2025 y declarar el derecho de la persona reclamante a la información solicitada sobre el nombre y apellidos de las personas que han accedido a su historia clínica laboral y los apartados a los que han accedido de la misma, sin incluir los números de DNI ni los códigos personales de acceso al programa informático, del periodo solicitado, entre el 1 de noviembre de 2020 y el 18 de noviembre de 2024, de acuerdo con las consideraciones hechas en el fundamento jurídico 2.
2. Requerir al ICS que entregue a la persona reclamante la información indicada en el apartado 1 dentro del plazo máximo de quince días.
3. Requerir al ICS que informe a la GAIP, dentro del plazo de quince días, del órgano o la persona responsable del cumplimiento de esta Resolución, así como de las actuaciones realizadas para cumplirla.
4. Invitar a la persona reclamante a que informe a la GAIP de cualquier incidencia que se produzca con motivo del cumplimiento de esta Resolución.
5. Declarar finalizado el procedimiento relativo a la Reclamación 518/2025 y disponer la publicación de esta resolución en la web de la GAIP.