| Informe | 2016-0097 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0097)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la validez de un contrato entre un profesional médico (responsable del tratamiento de datos de salud) y una entidad aseguradora que presta servicios auxiliares como gestión de agendas, recepción de pacientes y facturación. La AEPD concluye que la entidad aseguradora no actúa como encargada del tratamiento según la LOPDGDD (Ley Orgánica 15/1999), sino que debería ser considerada responsable del tratamiento de los datos de los pacientes, lo que vulnera la normativa de protección de datos.
Responsable del tratamiento
El informe establece que, según la LOPDGDD, el responsable del tratamiento es quien decide sobre la finalidad, contenido y uso de los datos personales. En este caso, el médico actúa como responsable de los datos de salud de sus pacientes, mientras que la entidad aseguradora debería cumplir el rol de encargada del tratamiento (tratando datos por cuenta del responsable).
Sin embargo, la AEPD determina que:
La entidad aseguradora usa los datos para sus propios fines (como la cesión a otros profesionales médicos a través de un software compartido) y establece relaciones directas con los pacientes (solicitando su consentimiento para cesiones y publicidad), lo que incumple su rol de encargada.
El profesional médico no puede ser responsable de un fichero común de historias clínicas cuando la aseguradora gestiona el sistema.
Validez del consentimiento
El documento que la aseguradora hace firmar a los pacientes para consentir la inclusión de sus datos en un software y la cesión de datos a otros profesionales es contradictorio:
Falta legitimidad: El consentimiento se pide para tratamientos que no corresponden al responsable (el médico), sino a la aseguradora.
Defectos formales: No cumple con el deber de información de la LOPDGDD (artículo 5), ya que no especifica quién es el responsable real del fichero común ni los fines del tratamiento.
Cesión no autorizada: La aseguradora no puede ceder datos sin consentimiento explícito del responsable primario (el médico), y menos aún para fines publicitarios.
Publicidad y cesiones ilegítimas
La entidad aseguradora pretende enviar publicidad a los pacientes del médico y ceder sus datos a terceros sin base legal. Esto incumple:
El artículo 7.3 de la LOPDGDD, que exige consentimiento expreso para el tratamiento de datos de salud.
El artículo 11 de la misma ley, que regula la cesión de datos (requiriendo el consentimiento del afectado o la existencia de una base legal).
Medidas correctivas propuestas
La AEPD concluye que la entidad aseguradora debe:
Dejar de actuar como encargada y asumir su rol de responsable del tratamiento, cumpliendo todas sus obligaciones (información, consentimiento, seguridad, etc.).
Eliminar el software de gestión compartida, ya que crea un fichero común sin legitimidad.
Detener el envío de publicidad a los pacientes del médico sin su consentimiento válido.
Eliminar los datos no conformes con la LOPDGDD y prestar especial atención a los derechos de los pacientes.
Conclusión
El contrato analizado no cumple la normativa de protección de datos, ya que la entidad aseguradora actúa irregularmente como encargada sin ajustarse a la LOPDGDD. La AEPD considera que su conducta la convierte en responsable del tratamiento, lo que requiere el cese de prácticas ilegítimas y la regularización de su relación con los datos de los pacientes.
Este resumen destaca los puntos clave del informe, pero se recomienda consultar el texto original para precisiones legales.