| Informe | 2016-0206 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0206)
El informe de la Agencia Española de Protección de Datos (AEPD), con referencia 186311/2016, aborda la obligación de una residencia de personas mayores de proporcionar la historia clínica, sociosanitaria y social de sus residentes a la Inspección de Servicios Sociales de la Comunidad Autónoma, en el contexto de una queja contra el centro.
Contexto y marco legal
El consultante cuestiona si, según la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), puede entregarse dicha documentación a la administración autonómica. La AEPD analiza si esta cesión está justificada bajo el régimen especial de datos de salud (art. 7.3 LOPD), que exige consentimiento del afectado o habilitación legal.
Datos de salud: Según la normativa, la historia clínica y sociosanitaria contiene información sensible sobre salud pasada, presente o futura (física o mental), discapacidad o información genética (art. 5.1 g) del RGPD de la LOPD).
Cesión de datos: La LOPD permite el tratamiento de estos datos sin consentimiento cuando una ley lo disponga por interés público.
Normativa aplicable
Ley 41/2002 de Autonomía del Paciente:
Regula el acceso a la historia clínica con fines judiciales, epidemiológicos o de salud pública (art. 16.3, 4 y 5).
Limita el acceso a datos identificativos y clínicos, salvo que el paciente consienta o sea imprescindible por resolución judicial.
Permite que las administraciones sanitarias accedan a datos identificativos en casos de riesgo grave para la salud pública (epidemiología, protección sanitaria).
Ley 5/2009 de Servicios Sociales de Aragón:
Art. 86: Establece la subordinación a la inspección autonómica de los centros de servicios sociales, públicos y privados.
Art. 87: Define las funciones de la inspección, incluyendo:
Velar por los derechos de los usuarios.
Verificar el cumplimiento de condiciones materiales y de personal.
Proponer medidas de salvaguarda.
Art. 88.2: Autoriza a la inspección a realizar pruebas o investigaciones para garantizar el cumplimiento de la ley.
Conclusión: La ley autonómica habilita a la administración a solicitar información siempre que sea proporcional y necesaria para cumplir sus funciones inspectoras.
Análisis de la AEPD
Habilitación legal: La Ley 5/2009 de Aragón sí permite la cesión de datos de salud a la inspección autonómica sin consentimiento, pero solo para verificar el cumplimiento de las obligaciones legales del centro (ej.: cuidados debidos a los residentes).
Principio de proporcionalidad (art. 4.1 LOPD):
La cesión no puede ser genérica, sino limitada a lo estrictamente necesario para investigar la queja concreta (ej.: si la denuncia se refiere a fallos en la medicación, solo se deberían proporcionar los registros médicos relacionados con ese aspecto, no toda la historia clínica).
Los datos deben usarse exclusivamente para la finalidad inspectora, sin fines distintos.
Consentimiento:
Aunque la administración indique que pedirá consentimiento, este no sería válido si la cesión se ampara en una ley (art. 7.3 LOPD).
Solo en casos exentos (ej.: datos no identificables) podría obviarse esta limitación.
Fallo y recomendaciones
Sí puede entregarse la documentación, pero:
Solo lo indispensable para investigar la queja específica.
La administración debe justificar la necesidad y garantizar el secreto profesional (art. 16.4 y 5 de la Ley 41/2002).
Se recomienda anonymizar los datos si es posible.
No puede usarse la información para otros fines (ej.: sanciones sin base legal, o difusión a terceros).
En resumen, la cesión es legal si se ajusta al marco autonómico y al principio de proporcionalidad, pero debe ser restringida, proporcional y motivada. La AEPD subraya que la administración inspectora está obligada a respetar la finalidad y límites de la LOPD, evitando accesos indiscriminados a datos sanitarios.