| Informe | 2016-0117 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Caso N/REF: 099997/2016)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la cuestión de quién corresponde la custodia y conservación de los informes y archivos de pruebas radiológicas realizadas por un centro de radiodiagnóstico contratado por un hospital. Tras analizar la normativa aplicable, la AEPD concluye que el centro de radiodiagnóstico es responsable del tratamiento de los datos personales contenidos en las historias clínicas de los pacientes a los que atendió, incluidos los derivados del hospital consultante.
Marco legal y fundamentos
Ley Orgánica 15/1999 (LOPD):
Define al responsable del tratamiento como la entidad que decide sobre la finalidad, contenido y uso de los datos personales (art. 3 LOPD y art. 5.1.q del RD 1720/2007).
La AEPD destaca que, para ser encargado del tratamiento (art. 12 LOPD), el centro de radiodiagnóstico debería limitarse a actuar bajo instrucciones del hospital, lo que no ocurre en este caso, ya que este centro actúa con sus propios medios materiales y personales y tiene obligaciones legales propias (como la custodia de historias clínicas, según la Ley 41/2002).
Ley 41/2002 (autonomía del paciente):
Establece que cada centro sanitario es responsable de la custodia de las historias clínicas de sus pacientes (art. 14.2, 17.4 y 17.5).
El centro de radiodiagnóstico, al ser un centro sanitario (conjunto organizado de profesionales, instalaciones y medios técnicos, conforme al art. 3 Ley 41/2002), tiene la obligación de conservar los datos generados por las pruebas que realiza, independientemente de que los pacientes fueran derivados por el hospital o fueran particulares.
Decreto 101/2005 (Castilla y León):
Repite que la gestión y custodia de las historias clínicas corresponde a la dirección del centro sanitario (arts. 5 y 18), reforzando la responsabilidad del centro de radiodiagnóstico.
Diferenciación entre responsable y encargado del tratamiento
El hospital consultante no es responsable de estos datos, ya que no decide sobre su uso final (únicamente solicita las pruebas).
El centro de radiodiagnóstico, en cambio, sí es responsable del fichero, pues actúa con autonomía en el tratamiento de datos (generación, almacenamiento y conservación de las pruebas radiológicas).
No es posible aplicar el régimen del encargado del tratamiento (art. 12 LOPD), ya que la Ley 41/2002 impone obligaciones que exceden las meras instrucciones de un responsable externo.
Comunicación de datos entre el centro de radiodiagnóstico y el hospital
Cuando el hospital incorpora a sus historias clínicas los informes generados por el centro de radiodiagnóstico, se produce una cesión de datos de salud (art. 3.i LOPD y art. 7.3 LOPD), que requiere:
Consentimiento expreso del paciente, salvo que exista una base legal que lo permita (no es el caso, al tratarse de centros privados).
Este consentimiento debe obtenerse previamente a la comunicación, ya sea por acceso físico o informático a los datos.
Conclusión
El centro de radiodiagnóstico es el responsable de la custodia y conservación de los informes radiológicos de todos los pacientes a los que atendió (incluyendo los del hospital consultante), durante los plazos establecidos por la Ley 41/2002 (generalmente 5 años desde la última asistencia, salvo normativa específica que establezca otro plazo).
El hospital no tiene responsabilidad sobre estos datos, salvo en lo relativo a sus propias historias clínicas.
No es aplicable el régimen del encargado del tratamiento, por lo que el centro de radiodiagnóstico no está obligado a devolver o destruir los datos al finalizar el contrato.
Cualquier cesión de datos entre el centro y el hospital requiere consentimiento del paciente.
Este informe subraya la importancia de determinar correctamente las figuras de responsable y encargado del tratamiento en el ámbito sanitario, especialmente cuando existen relaciones contractuales entre centros, para garantizar el cumplimiento de la LOPD y la Ley de Autonomía del Paciente.