| Informe | 2016-0139 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0139)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), identificado como 2016-0139, analiza la responsabilidad en el tratamiento de datos de salud en un supuesto concreto: un servicio autonómico de salud concertado con una corporación de colegiados para la prestación de asistencia bucodental a menores.
Contexto y cuestiones planteadas
El servicio autonómico y los colegiados discrepan sobre:
La condición de los colegiados (responsables o encargados del tratamiento) respecto a los datos generados en las actuaciones asistenciales.
El tipo de consentimiento necesario para integrar los datos de salud en el sistema de información del servicio autonómico.
Marco normativo y criterios de la AEPD
La AEPD basa su análisis en:
Ley Orgánica 15/1999 (LOPD): Define el tratamiento de datos personales y, en particular, los de salud (especialmente protegidos).
Ley 41/2002: Regula las historias clínicas, estableciendo que su gestión corresponde al centro o profesional que presta la asistencia (art. 17.4 y 17.5).
Ley 16/2003: Permite el intercambio electrónico de información clínica entre centros del Sistema Nacional de Salud (SNS) sin necesidad de consentimiento del interesado (art. 56).
Conclusiones clave
Responsabilidad del tratamiento:
Los colegiados son responsables de los datos incorporados a las historias clínicas que generan, aunque el menor sea beneficiario del sistema autonómico.
El servicio autonómico también actuará como responsable del fichero de historias clínicas que gestiona, ya que los datos se integran en su sistema para garantizar la continuidad asistencial.
Cesión de datos:
La comunicación de los datos de salud desde el colegiado al servicio autonómico constituye una cesión legítima de datos amparada en:
Art. 7.3 LOPD: Permite cesiones sin consentimiento cuando lo disponga una Ley (como la Ley 16/2003).
Art. 56 Ley 16/2003: Autoriza el intercambio de información entre centros del SNS para la atención sanitaria.
No se requiere el consentimiento del menor o sus representantes legales, ya que la cesión está justificada por el marco legal.
Doble custodia:
Los datos deben constar tanto en el fichero del servicio autonómico como en el del colegiado, pues ambos son responsables del tratamiento, cada uno en su ámbito.
Recomendaciones
El servicio autonómico debe garantizar que los colegiados cumplen con la LOPD en la gestión de las historias clínicas.
La documentación clínica debe seguir los principios de integración máxima (art. 14 Ley 41/2002) y protección de datos (art. 5 Ley 16/2003).
Conclusión final
La AEPD concluye que los colegiados son responsables del tratamiento de los datos en sus historias clínicas, pero deben ceder la información al servicio autonómico sin necesidad de consentimiento, al estar amparada por la normativa sanitaria y de protección de datos. Ambos actores deben garantizar la seguridad y confidencialidad de la información sanitaria.