La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 18, regula el derecho de acceso a la historia clínica del paciente, derecho que está conectado con el propio derecho de acceso del artículo 15 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (a partir de ahora, RGPD).
Por lo tanto, además de la información que debe proporcionarse a los pacientes por el hecho de ejercitar su derecho de acceso conforme al RGPD (fines del tratamiento, categoría de datos, destinatarios o categoría de destinatarios a los que se comunican o comunicarán sus datos…), los pacientes tienen derecho a acceder a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella, pero el ejercicio de este derecho por parte de un paciente no implica que se le deba proporcionar íntegramente los documentos de la historia clínica ya que existe determinada información que deberá excluirse.
También sucede que, en determinados casos y para finalidades concretas, otras personas diferentes al paciente o los sanitarios que le asisten pueden tener acceso a la información que contiene la historia clínica.
¿QUÉ PUEDE O NO APARECER EN LA COPIA DE LA HISTORIA CLÍNICA QUE SE PROPORCIONA AL PACIENTE?
Anotaciones subjetivas de los profesionales: Ocurre muchas veces que los profesionales sanitarios incluyen anotaciones u opiniones subjetivas en los documentos que componen la historia clínica. Estos profesionales tienen derecho a que dichas anotaciones no sean incluidas en la copia que se le entrega al paciente. Así que, cuando existen dichas anotaciones, es necesario consultar al sanitario que la ha realizado si permite o no incluir dicha anotación. En caso de no obtener el permiso del profesional en cuestión, no se deberá incluir dicha anotación.
Datos personales y confidencialidad de datos de terceras personas distintas del paciente: La historia clínica de un paciente puede contener datos referidos a otras personas distintas del paciente como, por ejemplo, datos de otros enfermos en el entorno del paciente que pueden explicar un posible contagio (pensemos en lo acontecido con el COVID-19, en donde es necesario averiguar quién ha podido contagiarle). Otro caso de inclusión de datos personales de terceros en la historia clínica podría darse con las observaciones de comportamientos o síntomas que el entorno familiar, laboral o de convivencia del paciente manifiestan al médico, como puede darse en los casos de psiquiatría o neurología en donde la observación del comportamiento habitual del paciente tiene especial importancia. En tales supuestos, no se deberá incluir dicha información relativa a esas personas en la documentación que deba facilitarse al paciente.
Datos identificativos de profesionales que acceden a la historia clínica: El derecho de acceso a la historia clínica no incluye el derecho a saber quién ha consultado la misma. Si bien los centros médicos y sanitarios deben mantener la trazabilidad de los accesos por motivos de seguridad, control de la confidencialidad, e integridad del sistema de información, dichos accesos no son referidos a datos del paciente, sino a terceras personas. En la Guía para pacientes y usuarios de la Sanidad publicada por la AEPD en noviembre de 2019, se indica que “Salvo que una ley lo permita expresamente, el derecho de acceso no incluye la identificación de los profesionales sanitarios que acceden a la historia clínica”. Ya la AEPD, en el Informe Jurídico 171/2008 y en la resolución R/00948/2011 , advierte que el interesado, en este caso, está solicitando datos de terceros y no sus propios datos, lo cual impide que se pueda atender a dicho requerimiento a través su derecho de acceso. Es necesario señalar que el paciente no podría obtener dicha información argumentando su derecho de acceso a la Protección de Datos y a la historia clínica (salvo que una ley lo contemple), pero no impediría que él, o cualquier persona, pudiera presentar una reclamación ante la Autoridad de Control de Protección de Datos por considerar que se ha producido un acceso indebido a la historia clínica.
¿QUIÉN PUEDE SOLICITAR LA HISTORIA CLÍNICA?
El paciente es quien puede solicitar el acceso a la historia clínica, ya sea de forma directa o a través de representación debidamente acreditada.
Es habitual que sean familiares de los pacientes los que soliciten documentación médica, en especial, cuando se tratan de personas mayores que padecen enfermedades que merman la capacidad cognitiva tales como el Alzheimer. Al respecto, la AEPD considera que, si el paciente no está incapacitado, deberá ser el mismo paciente quien lo solicite, pudiendo nombrar a un familiar (u otra persona) como representante que pueda acceder a la historia clínica. Hay que tener en cuenta que, dentro de las competencias de las Comunidades Autónomas, estas pueden establecer normas que permitan un acceso de familiares a la documentación en determinados casos.
Referente a la solicitud de la historia clínica del paciente fallecido, el artículo 18.4 de la Ley de Autonomía del Paciente establece que los centros sanitarios y facultativos “sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite”.
Si bien el RGPD no se aplica a las personas fallecidas, sí reconoce la competencia a los estados miembros para establecer normas relativas al tratamiento de sus datos personales, y así lo ha hecho España que, al igual que en la Ley de Autonomía del Paciente, reconoce el derecho de las personas vinculadas al fallecido por razones familiares, de hecho o como herederos, a solicitar el acceso a los datos personales así como su rectificación o supresión, salvo que la persona fallecida lo hubiera prohibido expresamente o exista una ley que lo impida. Esto último no es solo aplicable en el ámbito sanitario en lo relativo a la historia clínica, sino que es aplicable para todo tratamiento de datos personales del finado.
Referente a los menores de edad, debemos tener en cuenta que estos también son titulares del derecho a la Protección de Datos personales, y que a partir de los 14 años pueden dar su consentimiento para el tratamiento de sus datos. Si bien la AEPD consideraba en su Informe 409/2004 que si un padre o madre de un mayor de catorce años solicita un informe o cualquier dato incorporado a la historia clínica de su hijo, no deberá procederse a la entrega de la información en tanto no conste la autorización fehaciente del hijo, cambia de criterio tal y como podemos observar en los informes jurídicos 0114/2008 y 0222/2014 al considerar que, si bien el mayor de catorce años puede ejercitar por sí solo (sin necesidad de intervención de sus padres o tutores) su derecho al acceso a la historia clínica, sus padres, como titulares de la patria potestad, podrán también acceder a la historia clínica para cumplir con sus funciones de velar y proteger al menor contenidas en el artículo 154 del Código Civil. Dentro de esas funciones de los padres con respecto a los menores, se incluye el de “velar adecuadamente por la salud de los mismos”, y ni siquiera el menor puede oponerse a dicho acceso, salvo que una ley le reconozca dicha posibilidad (como podría darse en determinados casos en relación a la Protección de Menores).
OTRAS ENTIDADES O PERSONAS QUE PUEDEN TENER ACCESO A LA HISTORIA O DOCUMENTACIÓN CLÍNICA.
Además de los sanitarios, que deben utilizar la historia clínica para garantizar una asistencia adecuada al paciente, y el propio paciente en virtud de su derecho de acceso a la historia clínica, también pueden tener acceso a la historia y documentación clínica otras entidades o personas para finalidades definidas y concretas. En estos casos, los datos identificativos del paciente deben ir separados de los de carácter clinicoasistencial para asegurar el anonimato del paciente, a no ser que el paciente consienta en que se relacionen. Sin embargo, hay casos en que la identificación del paciente es necesaria.
Fines judiciales: Los jueces y tribunales pueden tener acceso a la historia clínica para la investigación o resolución de procedimientos. Si es imprescindible por las circunstancias del caso concreto, el juez o tribunal puede solicitar la identificación del paciente junto con sus datos clinicoasistenciales.
Fines epidemiológicos y de salud pública: Los órganos y autoridades sanitarias pueden acceder a la historia y documentación clínica, y podrán acceder, además, a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. Un ejemplo evidente de este acceso lo tenemos recientemente con las medidas contra el COVID-19.
Fines de investigación o de docencia: En los casos de investigación, debemos tener en cuenta lo establecido en el punto 2 de la Disposición adicional decimoséptima de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que regula los criterios del tratamiento de los datos personales en la investigación en salud, y que habla de los casos en que es y no es necesario el consentimiento del interesado o la posibilidad de realizar la seudonimización de los datos.
Acceso por parte del personal de administración: Está permitido que el personal de administración y gestión pueda acceder a los datos de la historia clínica siempre y cuando estén relacionados con sus propias funciones. Esto implica que los centros sanitarios deberán configurar los permisos de acceso para que este personal solo acceda a aquella información necesaria para la realización de su trabajo.
