La AEPD sanciona al Servicio Aragonés de Salud por permitir accesos indebidos a historias clínicas y ordena la revisión de permisos y auditorías proactivas.

Una empleada del Servicio Aragonés de Salud (SALUD) accedió indebidamente a la historia clínica de una paciente, vulnerando el principio de confidencialidad establecido en el Reglamento General de Protección de Datos (RGPD). La paciente, al enterarse de estos accesos no autorizados, presentó una reclamación solicitando una indemnización y la adopción de medidas correctivas.

El acceso indebido se produjo debido a un error en la gestión de permisos de acceso, ya que la empleada mantenía permisos que no correspondían a su puesto de trabajo actual. Este error no fue detectado de inmediato, lo que permitió que los accesos indebidos continuaran durante un período prolongado. La entidad reconoció la infracción y sancionó a la empleada con un mes de suspensión de funciones.

La decisión sancionadora concluye que el SALUD no implementó medidas de seguridad adecuadas para prevenir accesos indebidos a la historia clínica electrónica. Aunque la entidad contaba con un procedimiento de auditoría reactiva, este no fue suficiente para garantizar la confidencialidad y seguridad de los datos personales. Se ordenó al SALUD adoptar medidas correctivas para evitar futuras incidencias, incluyendo la revisión periódica de permisos de acceso y la implementación de auditorías proactivas. La entidad debe acreditar ante la autoridad competente la adopción de estas medidas en un plazo de seis meses.