Acceso a los registros de accesos producidos a la historia de salud del solicitante

RESOLUCIÓN 561/2025 DE RECLAMACIÓN EN MATERIA DE DERECHO DE ACCESO A INFORMACIÓN PÚBLICA

Reclamación 1052/2024
Persona reclamante XXXXX
Entidad reclamada Servicio Andaluz de Salud
Artículos 7 c) LTPA; 12 LTAIBG.
Normativa y abreviaturas Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía (LTPA); Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG); Reglamento General de Protección de Datos (RGPD).

---

ANTECEDENTES

Primero. Presentación de la reclamación.

Mediante escrito presentado el 30 de octubre de 2024 la persona reclamante, interpone ante este CONSEJO DE TRANSPARENCIA Y PROTECCIÓN DE DATOS DE ANDALUCÍA (en adelante Consejo) Reclamación en materia de acceso a la información pública contra la entidad reclamada, al amparo del artículo 24 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante LTAIBG) y del artículo 33 de la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía (en adelante LTPA).

Segundo. Antecedentes a la reclamación.

1. La persona reclamante presentó el 22 de febrero de 2024, con número xxxxxxxx, ante la entidad reclamada, solicitud de información sobre los accesos producidos a su historia de salud desde el 1 de septiembre de 2023 a la fecha de su solicitud.
2. Mediante escrito de 1 de marzo de 2024 la entidad reclamada informó a la persona solicitante que había procedido a notificar su petición a la Unidad directiva responsable de sus sistemas de información, al objeto de que faciliten los accesos producidos en su Historia Digital de Salud (DIRAYA). Igualmente le informan que:

   "...de conformidad con legislación vigente en esta materia, no estamos autorizados a proporcionarle la identidad de los profesionales, si bien, estamos en disposición de ofrecerles las categorías profesionales de las personas que han efectuado el acceso, así como el nombre del centro desde donde se han realizado, fecha de acceso, tipo de actuación (consulta o modificación de datos y la descripción de la actuación realizada (…) Le informamos que la solicitud de accesos producidos a la historia de salud, no es un ejercicio de derecho de acceso a la historia clínica y no se encuentra amparado en los plazos del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Derechos Digitales (LOPDD). Los registros de accesos tienen su amparo en el Esquema Nacional de Seguridad y dependiendo de la complejidad, recursos y procesos manuales necesarios se puede demorar en el tiempo.(...)".

Tercero. Sobre la reclamación presentada.

En la reclamación presentada se indica, en lo que ahora interesa:

"Por medio del presente, y con fundamento en el derecho de acceso a la información y la protección de datos de carácter personal, me gustaría exponer los siguientes acontecimientos:

1) En fecha 22 de febrero de 2024, se presentó un registro con número 202499901828378, mediante el cual solicité formalmente el acceso a mi historia clínica frente a la consejería de salud y consumo.
2) En respuesta a dicha solicitud, el 1 de mayo de 2024 recibí una carta certificada emitida por la Consejería de Salud y Consumo, en la que se confirmó la recepción de mi petición por parte de esta Administración.
3) Ante la falta de respuesta en los meses siguientes, el 25 de septiembre de 2024 procedí a presentar un segundo registro, con número 2024999010209269, en el cual reiteré la solicitud y solicité una revisión de mi caso.
4) No obstante lo anterior, hasta la fecha de la presente comunicación, no he recibido la información solicitada. Cabe señalar que han transcurrido ya ocho meses desde el primer registro, periodo que estimo es administrativamente suficiente para la tramitación y resolución de la petición formulada.

SOLICITA
Revisen dicha situación y que por la presente, y en ejercicio de los derechos de transparencia y protección de datos personales reconocidos en la normativa vigente, solicito que se me facilite la información requerida respecto a los accesos producidos, considerando que el plazo de ocho meses transcurrido resulta, en términos administrativos, razonable y suficiente para la tramitación de dicha petición.

Apelo al principio de buena administración y al cumplimiento de los plazos establecidos en la normativa de procedimientos administrativos, entendiendo que estos deben responder a los principios de celeridad y eficacia en la atención de solicitudes de acceso a información. Sin otro particular, quedo a la espera de la pronta respuesta a la presente solicitud y a la facilitación de los datos requeridos".

Cuarto. Tramitación de la reclamación.

1. El 7 de noviembre de 2024 el Consejo dirige a la persona reclamante comunicación de inicio del procedimiento para la resolución de la reclamación. El mismo día se solicitó a la entidad reclamada copia del expediente derivado de la solicitud de información, informe y alegaciones que tuviera por conveniente plantear en orden a resolver la reclamación. Consta en el expediente "Informe de la comunicación" del aplicativo BandeJA, según el cual la solicitud de expediente y alegaciones fue recepcionada por la entidad de destino el día 8 de noviembre de 2024. Dicha solicitud es comunicada asimismo por correo electrónico de 7 de noviembre de 2024 a la Unidad de Transparencia del Servicio Andaluz de Salud.
2. El 20 de enero de 2025 el Director del Consejo de Transparencia y Protección de Datos de Andalucía dicta Acuerdo por el que se amplía el plazo máximo de resolución del procedimiento de esta reclamación en 3 meses a contar desde el día siguiente a la fecha máxima de resolución. Dicho acuerdo es remitido a la entidad reclamada y a la persona reclamante el 21 de enero de 2025.
3. A la fecha de firma de este Resolución, no consta que la entidad reclamada haya contestado a la solicitud de expediente y alegaciones.

FUNDAMENTOS JURÍDICOS

Primero. Sobre la competencia para la resolución de la reclamación.

1. De conformidad con lo previsto en los artículos 24 LTAIBG y 33 LTPA, en relación con lo dispuesto en el artículo 3.1.c) LTPA, al ser la entidad reclamada una agencia administrativa de la Administración de la Junta de Andalucía, el conocimiento de la presente reclamación está atribuido a la competencia de este Consejo.
2. La competencia para la resolución reside en el Director de acuerdo con lo previsto en el artículo 48.1. b) LTPA.
3. Debe destacarse a su vez que, en virtud del artículo 16.5 del Decreto 434/2015, de 29 de septiembre, por el que se aprueban los Estatutos del Consejo de Transparencia y Protección de Datos de Andalucía, "[e]l personal funcionario del Consejo, cuando realice funciones de investigación en materias propias de la competencia del Consejo, tendrá el carácter de agente de la autoridad", con las consecuencias que de aquí se derivan para los sujetos obligados en relación con la puesta a disposición de la información que les sea requerida en el curso de tales funciones investigadoras.

Segundo. Sobre el cumplimiento del plazo en la presentación de la reclamación.

1. De conformidad con lo dispuesto en el artículo 24.2 LTAIBG la reclamación se interpondrá en el plazo de un mes a contar desde el día siguiente al de la notificación del acto impugnado o desde el día siguiente a aquel en que se produzcan los efectos del silencio administrativo, sin perjuicio de lo dispuesto en el artículo 124 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común (LPAC).
   
   Sobre el plazo máximo de resolución, el artículo 32 LTPA establece que las solicitudes deberán resolverse y notificarse en el menor plazo posible. En el ámbito de la entidad reclamada, el plazo máximo para dictar y notificar la resolución será de veinte días hábiles desde la recepción de la solicitud por el órgano competente para resolver.
   
   Sobre el silencio administrativo, establece el artículo 20.4 LTAIBG que transcurrido del plazo máximo de resolución sin que se haya dictado y notificado resolución expresa se entenderá que la solicitud ha sido desestimada. A su vez, los artículos 20.1 LTAIBG y 32 LTPA establecen que el plazo máximo de resolución podrá ampliarse por el mismo plazo, respectivamente, en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante.
2. En el presente supuesto la solicitud fue presentada el 22 de febrero de 2024, y la reclamación fue presentada el 30 de octubre de 2024. Así, considerando producido el silencio administrativo transcurrido el plazo máximo para resolver desde la solicitud, la reclamación ha sido presentada en plazo, conforme a lo previsto en el artículo 24.2 LTAIBG y el artículo 124 LPAC.

Tercero. Consideraciones generales sobre el derecho de acceso a la información pública.

1. Constituye "información pública" a los efectos de la legislación reguladora de la transparencia, "los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguna de las personas y entidades incluidas en el presente título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones" [art. 2 a) LTPA].
   
   Según establece el artículo 24 LTPA, "[t]odas las personas tienen derecho de acceder a la información pública veraz […] sin más limitaciones que las contempladas en la Ley". Y el artículo 6 a) LTPA obliga a que su interpretación y aplicación se efectúe tomando en consideración el "principio de transparencia, en cuya virtud toda la información pública es en principio accesible y sólo puede ser retenida para proteger otros derechos e intereses legítimos de acuerdo con la Ley".
   
   La legislación reguladora de la transparencia, pues, se fundamenta y estructura en torno a una regla general de acceso a la información pública, que únicamente puede ser modulada o limitada si se aplican, motivadamente y de forma restrictiva, alguno de los supuestos legales que permiten su restricción o denegación.
2. Las causas de inadmisión se encuentran enumeradas en el artículo 18 («Causas de inadmisión») LTAIBG, y su aplicación debe ser objeto de una interpretación restrictiva y el supuesto de hecho de su concurrencia debe ser acreditado por el órgano reclamado (Resolución CTPDA 451/2018, FJ 5º).
   
   Sobre ello nos dice el Tribunal Supremo en la Sentencia n.º 1547/2017, de 16 de octubre (Sala de lo Contencioso-Administrativo, Sección Tercera):

   "La formulación amplia en el reconocimiento y en la regulación legal del derecho de acceso a la información obliga a interpretar de forma estricta, cuando no restrictiva, tanto las limitaciones a ese derecho que se contemplan en el artículo 14.1 de la Ley 19/2013 como las causas de inadmisión de solicitudes de información que aparecen enumeradas en el artículo 18.1, sin que quepa aceptar limitaciones que supongan un menoscabo injustificado y desproporcionado del derecho de acceso a la información. [...] Asimismo, la posibilidad de limitar el derecho de acceso a la información no constituye una potestad discrecional de la Administración o entidad a la que se solicita información, pues aquél es un derecho reconocido de forma amplia y que sólo puede ser limitado en los casos y en los términos previstos en la Ley..." (Fundamento de Derecho Sexto).

3. Los límites al derecho de acceso están contenidos en el artículo 14 LTAIBG, y al igual que las causas de inadmisión, deben ser interpretados restrictivamente y el supuesto de hecho de su concurrencia debe ser acreditado por el órgano reclamado en cada caso concreto.

Cuarto. Consideraciones de este Consejo sobre el objeto de la reclamación.

1. El objeto de la reclamación es el transcrito en el Antecedente segundo, apartado 1. Lo solicitado es "información Pública", al tratarse de documentos, o contenido, que obran en poder de la entidad reclamada, y han sido elaborados o adquiridos por ella en el ejercicio de sus funciones, todo ello de conformidad con el artículo 2.a) LTPA. Pues bien, considerando que la información solicitada se incardina claramente en el concepto de información pública, que no consta que la persona reclamante haya recibido la información solicitada y que no ha sido alegada por la entidad reclamada ninguna causa de inadmisión ni ningún límite que permita restringir el acceso a la misma, este Consejo debería estimar la presente reclamación en virtud de la regla general de acceso a la información que referíamos en el fundamento jurídico anterior.
2. No obstante lo anterior, en expedientes como el que nos ocupa, en el que la entidad reclamada no ha remitido el expediente de acceso ni ha realizado alegación alguna y no se dispone de ninguna información más precisa, este Consejo considera pertinente pronunciarse sobre el derecho de protección de datos personales si en la información solicitada es probable que existan datos de tal naturaleza.
   
   En este caso obviamente la información solicitada supone acceder a datos personales de la persona reclamante. Pero además, también podría suponer el acceso a datos de terceros, en concreto, a los datos de los profesionales sanitarios que realizaron los accesos a su historia de salud.
   
   La entidad reclamada en su respuesta de 1 de marzo de 2024 advierte a la persona reclamante que "no estamos autorizados a proporcionarle la identidad de los profesionales, si bien, estamos en disposición de ofrecerles las categorías profesionales de las personas que han efectuado el acceso", así como el nombre del centro desde donde se han realizado, fecha de acceso, tipo de actuación (consulta o modificación de datos y la descripción de la actuación realizada. Sin embargo no es este el criterio mantenido sobre esta cuestión, respecto a la que nos hemos pronunciado en nuestra Resolución [Dictamen 3-2023].
   
   En dicha Resolución, tras examinar el Dictamen de este Consejo n.º 3/2023, concluíamos que la información sobre la trazabilidad de los accesos a la historia clínica de una persona y el motivo de la consulta, junto a la identificación de los profesionales sanitarios que han accedido, son datos que deben constar en los registros de accesos a las historias clínicas de la entidad reclamada y se trata, por tanto, de una información que se corresponde con el concepto de "información pública" a los efectos de la legislación reguladora de la transparencia: "los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguna de las personas y entidades incluidas en el presente título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones" [art. 2 a) LTPA].
   
   Pues bien, en estos casos, conforme a la normativa de transparencia, antes de decidir sobre el acceso sería preciso realizar el trámite de audiencia, con la finalidad de exponer y justificar por parte de la/s tercera/s persona/s afectada/s aquellas circunstancias personales o datos concretos y específicos que contenga la información que puedan ser determinantes de la aplicación de un límite o de su ponderación, con la finalidad de garantizar la posible defensa de sus derechos e intereses.
   
   Por tanto, la entidad reclamada deberá conceder el trámite de alegaciones a los terceros afectados. Este trámite resulta determinante para permitir a los afectados por la difusión de la información alegar lo que a sus derechos e intereses convenga; razón por la cual el artículo 19.3 LTAIBG se expresa en términos inequívocamente imperativos: "Si la información solicitada pudiera afectar a derechos o intereses de terceros, debidamente identificados, se les concederá un plazo de quince días para que puedan realizar las alegaciones que estimen oportunas. El solicitante deberá ser informado de esta circunstancia, así como de la suspensión del plazo para dictar resolución hasta que se hayan recibido las alegaciones o haya transcurrido el plazo para su presentación".
   
   Igualmente el trámite de audiencia permite a los terceros afectados oponerse al acceso solicitado, caso en el cual el acceso en cuestión no se podría producir hasta haber transcurrido el plazo para impugnar la resolución de la Reclamación en vía contenciosa administrativa (artículo 34.3 LTAIBG).
   
   En consecuencia, considerando que quedan perfectamente identificados para la Administración reclamada los terceros que pueden resultar afectados por la información referente a la solicitud de información, y no constando a este Consejo que se haya concedido dicho trámite, procede retrotraer el procedimiento de resolución de la solicitud al momento en el que la entidad reclamada conceda el trámite de alegaciones previsto en el mencionado art. 19.3 LTAIBG, debiendo informar a la persona solicitante de esta circunstancia. Y tras lo cual se continúe el procedimiento hasta dictarse la Resolución correspondiente.
   
   La entidad reclamada deberá ordenar la retroacción del procedimiento en el plazo máximo de diez días desde la notificación de esta Resolución. Y deberá resolver el procedimiento en el plazo máximo de resolución previsto en la normativa que le resulte de aplicación, contado igualmente desde la notificación de esta Resolución, sin perjuicio de la suspensión del plazo derivada del artículo 19.3 LTAIBG.
   
   La resolución que ponga fin a dicho procedimiento, o bien la ausencia de respuesta en el plazo establecido, podrá ser reclamada potestativamente ante este Consejo, circunstancia que deberá ponerse de manifiesto en su notificación en aplicación de lo previsto en el 40.2 de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las Administraciones públicas.

Quinto. Cuestiones generales sobre la formalización del acceso.

La entidad reclamada, por tanto, habrá de ofrecer a la persona reclamante la información objeto de su solicitud, ocultando los datos personales que eventualmente pudieran aparecer en la misma y que excedan de la información solicitada, como pudieran ser datos sobre domicilios o teléfonos particulares, números de identificación, estado civil, etc.; todo ello en aplicación del principio de minimización establecido en el artículo 5.1c) RGPD (datos adecuados, pertinentes y limitados a lo necesario). La entidad reclamada deberá tener en cuenta que la disociación de datos personales implica no solo la supresión de la identificación concreta de las personas físicas o aquellos otros datos que pudieran permitir la misma (DNI, dirección, número de teléfono…), sino también de otra información que permitiera igualmente la identificación de alguna persona física. En este sentido, el artículo 4.1 del Reglamento General de Protección de Datos define dato personal como:

"toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona".

A los efectos de la adecuada disociación u ocultación de los datos que puedan aparecer en los documentos, es preciso reseñar que la firma manual también se considera un dato personal y está sujeta a lo expresado anteriormente. Por otra parte, el código seguro de verificación (CSV) de los documentos firmados electrónicamente deberá ser ocultado en caso de que se haya suprimido algún dato del documento en cuestión cuya copia se facilite como respuesta a la solicitud de acceso a la información, o bien cuando el acceso a la correspondiente verificación pueda permitir la consulta de algún dato personal, no revelado en el documento, de la persona firmante, como puede ser, por ejemplo, el DNI.

Y en la hipótesis de que no exista alguna de la información solicitada, la entidad reclamada deberá transmitir expresamente esta circunstancia a la persona reclamante.

La información obtenida podrá usarse sin necesidad de autorización previa, con las únicas limitaciones de las que se deriven de la LTPA y otras leyes, según lo previsto en el artículo 7 d) LTPA.

Asimismo, según el artículo 8 a) LTPA, las personas que accedan a información pública en aplicación de la normativa de transparencia deberán ejercer su derecho con respeto a los principios de buena fe e interdicción del abuso del derecho.

En virtud de los Antecedentes y Fundamentos Jurídicos citados se dicta la siguiente

RESOLUCIÓN

1. Estimar la reclamación interpuesta, en el sentido que a continuación se indica, respecto a la solicitud de información sobre los accesos producidos a la historia de salud de la persona reclamante desde el 1 de septiembre de 2023 a la fecha de su solicitud. La entidad reclamada deberá retrotraer el procedimiento en el plazo de diez días desde el día siguiente al que se le notifique esta Resolución para practicar el trámite de audiencia a las terceras personas afectadas, debidamente identificadas, teniendo en cuenta el contenido del apartado 2 del Fundamento Jurídico Cuarto.
2. Instar a la entidad reclamada a que remita a este Consejo en el plazo de diez días a contar desde el día siguiente al que se le notifique esta Resolución, las actuaciones realizadas, incluyendo la acreditación del resultado de las notificaciones practicadas.