| Informe | 2017-0334 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2017-0334)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza un convenio de colaboración entre el Servicio Madrileño de Salud y el Instituto Aragonés de Ciencias de la Salud, destinado a que este último acceda y procese datos de los sistemas de información del primero para proyectos de investigación sobre variabilidad en la práctica médica y optimización de sistemas de salud (como el «Atlas de variaciones en la Práctica Médica» y el proyecto «European Collaboration for Health Care Optimization»).
Contexto legal y requisitos del convenio
El convenio se enmarca en la Ley 40/2015, que regula los acuerdos entre administraciones públicas y su contenido mínimo (necesidad, oportunidad, impacto económico y carácter no contractual). La memoria justificativa del convenio cumple con estos requisitos, destacando que no implica financiación ni contraprestación económica para el Servicio Madrileño de Salud.
Protección de datos y datos de salud
El principal punto de análisis es la cesión de datos de salud, considerados datos de carácter personal sensibles según el artículo 5.1.g) del Reglamento de desarrollo de la LOPD y el artículo 7.3 de la LOPDGDD, que exige consentimiento expreso o una base legal para su tratamiento. La Ley 41/2002 regula el acceso a historias clínicas, exigiendo que los datos identificativos se separen de los clínicos para garantizar el anonimato, salvo consentimiento del paciente.
Problema identificado: el número de historia clínica
El convenio prevé el acceso al Conjunto Mínimo Básico de Datos (CMBD), que incluye el número de historia clínica. La AEPD determina que este número no puede considerarse anonimizado, ya que permite identificar al paciente sin esfuerzos desproporcionados (artículo 5.1.o) del Reglamento de desarrollo de la LOPD). Por tanto, el número de historia clínica es un dato personal que debe tratarse conforme a la normativa de protección de datos.
Solución: encargo de tratamiento
Dado que el Instituto Aragonés de Ciencias de la Salud actuará como encargado del tratamiento (artículo 12 LOPD y artículo 28 del RGPD), el acceso a los datos se considera legítimo si:
Se limita a la prestación de un servicio al responsable (Servicio Madrileño de Salud).
El encargado no utiliza los datos para fines propios.
Se garantiza la confidencialidad y devolución o destrucción de los datos tras su uso (cláusula séptima del convenio).
El convenio cumple con estos requisitos, ya que:
Define al Instituto Aragonés como encargado del tratamiento.
Establece obligaciones de confidencialidad y devolución de datos (apartado I y III de la cláusula séptima).
No implica una cesión de datos en sentido estricto, sino un acceso por cuenta del responsable.
Conclusión
La AEPD concluye que el convenio no infringe la LOPD ni el RGPD, siempre que se cumplan las condiciones de encargo de tratamiento y se respeten los principios de minimización, confidencialidad y finalidad. Se recomienda asegurar que el Instituto Aragonés actúe exclusivamente como encargado y no como responsable del tratamiento.
En resumen, el informe valida el convenio siempre que se garantice el tratamiento de los datos de salud conforme a la normativa, evitando su uso para fines distintos a los pactados y asegurando su protección durante todo el proceso.