El Informe 617/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la consulta sobre la conformidad de realizar pruebas con datos reales en el procedimiento de implantación del Proyecto Historia Clínica Digital en el Sistema Nacional de Salud (SNS). Este proyecto involucra a la consultante y a otras nueve Comunidades Autónomas, junto con el Ministerio de Sanidad y Consumo.
La consulta plantea si el intercambio de información real de pacientes es conforme a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. Se argumenta que la finalidad del intercambio no es asistencial, sino técnica, y que sería suficiente utilizar datos ficticios para la comprobación del sistema. Además, se señala que el acceso a los datos no será llevado a cabo por personal sanitario, lo cual podría ser contrario a la normativa vigente.
El informe destaca que el tratamiento de datos de salud requiere cumplir con las reglas establecidas en los artículos 7 y 8 de la Ley Orgánica 15/1999 y en la Ley 41/2002, que regula la autonomía del paciente y los derechos en materia de información y documentación clínica. Según estas normas, los datos de salud solo pueden ser tratados cuando sea necesario para la prevención, diagnóstico, asistencia sanitaria o gestión de servicios sanitarios, y deben ser manejados por personal sanitario o sujeto a una obligación equivalente de secreto.
El informe concluye que, aunque la finalidad principal de las pruebas es técnica, la legitimación para el tratamiento de datos reales procede del artículo 7.3 de la Ley Orgánica 15/1999 en conexión con el artículo 56 de la Ley 16/2003, que establece la necesidad de garantizar la mejor atención sanitaria posible. Por lo tanto, no es preciso el consentimiento del afectado para el tratamiento de datos en este caso.
Además, se considera necesario el uso de datos reales en la segunda fase de las pruebas para verificar el acceso aleatorio a datos de historias clínicas, lo cual no sería posible con datos ficticios. El acceso debe verificarse por personal sanitario o sujeto a una obligación equivalente de secreto, y deben implantarse medidas de seguridad de nivel alto para proteger los datos.
En resumen, el informe concluye que la realización de las pruebas con datos reales no es contraria a la Ley Orgánica 15/1999, siempre y cuando se cumplan las exigencias de seguridad y el acceso se realice por personal adecuado.