El Informe 0283/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la cuestión de si el número de historia clínica, después de un proceso de disociación, sigue siendo considerado un dato de carácter personal conforme a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
El informe comienza definiendo el «procedimiento de disociación» según el artículo 3 f) de la Ley Orgánica 15/1999 y el artículo 5 del Real Decreto 1720/2007. Este procedimiento implica el tratamiento de datos personales de manera que la información obtenida no pueda asociarse a una persona identificada o identificable. Un dato disociado es aquel que no permite la identificación del afectado.
Para que la disociación sea efectiva, es crucial que no exista ninguna posibilidad, ni siquiera remota, de identificar al paciente a través de la información disponible. Si el número de historia clínica asignado por un centro médico puede ser correlacionado con la identidad del paciente (nombre y apellidos), entonces no se ha realizado una disociación adecuada y los datos siguen estando sujetos a la Ley Orgánica 15/1999.
El informe también hace referencia a las disposiciones internacionales sobre protección de datos, que consideran que un afectado no es determinable si su identificación requiere un esfuerzo desproporcionado que disuada a quien accede al dato de intentar identificar a la persona. En este sentido, si la identidad del paciente puede ser deducida sin realizar esfuerzos desproporcionados, no se trata de un caso de disociación y los datos siguen estando protegidos por la ley.
En conclusión, el informe establece que para que un procedimiento de disociación sea considerado suficiente, debe resultar imposible asociar un dato con un sujeto determinado. Si los datos disociados pueden volver a revelar la identidad de las personas afectadas, la actuación no se ajusta a lo previsto por la Ley Orgánica 15/1999. Por lo tanto, los centros médicos deben asegurarse de que los números de historia clínica no puedan ser utilizados para identificar a los pacientes, de lo contrario, los datos seguirán siendo considerados personales y sujetos a la normativa de protección de datos.