La Agencia Española de Protección de Datos (AEPD) ha dictado una resolución que está generando especial interés en el ámbito sanitario y jurídico. El expediente, iniciado tras la denuncia de un profesional que sospechaba accesos no autorizados a su historia clínica por parte de varias compañeras, concluye con el archivo del procedimiento sancionador. Pero lo más relevante no es el archivo en sí, sino el análisis que realiza la Agencia sobre la responsabilidad individual de los empleados que acceden indebidamente a datos personales.
El caso se originó cuando el reclamante denunció que siete facultativas del mismo servicio habrían accedido a su historia clínica sin justificación y que una de ellas habría utilizado información contenida en ella para contratar a una agencia de detectives. El hospital activó sus protocolos internos, realizó auditorías de accesos, revisó trazas del sistema de historia clínica electrónica y trasladó los hechos al Comité Delegado de Protección de Datos de su comunidad autónoma.
Un expediente que va más allá del acceso indebido
A diferencia de otras resoluciones centradas en el derecho del paciente a conocer quién accedió a sus datos, esta resolución aborda una cuestión distinta: ¿puede presentarse una reclamación directamente contra el empleado que realiza el acceso indebido?
La AEPD responde con una interpretación detallada del artículo 29 del RGPD: "Esto implica que, con carácter general, los empleados que disponen de acceso a datos personales dentro de una organización no tienen la consideración de responsables ni de encargados del tratamiento, sino de “personas que actúan bajo la autoridad del responsable o del encargado” en el sentido previsto en el artículo 29 del RGPD (…)".
Sin embargo, la Agencia introduce una excepción clave: “en aquellos supuestos en los que un empleado realizara tratamientos de datos personales para sus propios fines, excediéndose de manera indebida de las funciones que tuviera encomendadas, no podrá considerarse que estén actuando ‘bajo la autoridad’ del responsable, deviniendo responsables por sí mismos (…)”.
Y añade, en relación con el caso concreto: “en caso de que A.A.A. realizara accesos a historias clínicas de personas con los que no existe relación asistencial alguna (…) podrían suponer un tratamiento de datos personales para sus propios fines (…) pasando a determinar los medios y fines del tratamiento de datos personales y deviniendo responsable del mismo.”
Este razonamiento supone un matiz doctrinal importante: un empleado puede llegar a ser responsable del tratamiento si actúa al margen de sus funciones y con fines propios, siempre que la organización haya implantado medidas adecuadas para evitarlo.
El hospital actuó con diligencia y activó medidas disciplinarias
La resolución detalla que el centro sanitario:
-
Realizó auditorías de accesos a la historia clínica del reclamante y de otros pacientes.
-
Confirmó accesos indebidos por parte de dos profesionales.
-
Activó procedimientos disciplinarios internos.
-
Comunicó los hechos a los órganos competentes.
-
Recordó al personal la obligación de cumplir el decálogo de buenas prácticas y evitar el uso de aplicaciones no institucionales.
-
Aportó evidencia de medidas de seguridad, trazabilidad y cumplimiento del Esquema Nacional de Seguridad.
La AEPD concluye que el hospital actuó de forma proactiva, investigó los hechos y aplicó las medidas necesarias, por lo que no procede sanción.
Un caso que marcará criterio en el sector sanitario
La resolución destaca por tres motivos:
-
Aporta doctrina sobre la responsabilidad individual del empleado cuando actúa fuera de sus funciones.
-
Refuerza la importancia de los sistemas de trazabilidad y auditoría en la historia clínica electrónica.
-
Incluye un análisis detallado de las medidas de seguridad implantadas, que permite valorar la diligencia del centro sanitario.
Además, el expediente abre la puerta a debates colaterales, como la consideración de la dirección IP como dato personal, cuestión que también aparece mencionada en el análisis del caso.