El décimo trabajo de Heracles: Los bueyes de Geriones (VII). Trazabilidad

CASO REAL:

“Un paciente solicita conocer las personas que han accedido a su historia clínica, en un centro concreto y en un periodo de tiempo concreto pues sospecha que alguien ha difundido una información sobre su salud”.

Cada vez este tipo de solicitud está más presente en los centros sanitarios, ya sea por pacientes que sospechan sobre la fuga de su información o por los propios profesionales que trabajan en ellos.

De acuerdo a la legislación actual podríamos resumir que “no tienen derecho a conocer quien ha accedido a su historia clínica”, y ante este hecho, que puede ser malentendido por el paciente y dejarlo sorprendido por la falta de transparencia de las administraciones sanitarias.

En conclusión para el paciente: “No puedo conocer quien ha accedido a mi historia clínica electrónica, ¿Qué hago?”.

Orientar al paciente a denunciar los hechos objetos de sospecha es fundamental e informarle de que el centro iniciará las actuaciones pertinentes.

Pero estos dos puntos pueden ser objeto de controversia tanto por el propio paciente como por la organización sanitaria por los problemas y conflictos de intereses que se pueden suscitar en estas circunstancias.

Es importante distinguir entre la información que proporciona los registros de accesos y la identificación de los profesionales sanitarios que están identificados dentro de la historia Clínica, donde firman los actos sanitarios o informes. No existiendo problema con la información contenida en la historia sobre los documentos identificados, pero se debe verificar que en algunos casos es posible que existan referencia a terceros que se deben preservar de acuerdo a la ley..

Repasemos diferentes aproximaciones y jurisprudencia sobre estas cuestiones.

Autores:

Juan Díaz García
Rafael Marín Jiménez
Miguel Ángel García Hita

El décimo trabajo de Heracles: Los bueyes de Geriones (V). Trazabilidad

Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora.  By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons
Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora. By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons

Implementación en los Sistemas de Información.

Para cualquier sistema de información es imprescindible establecer y construir desde el principio los elementos que garanticen la seguridad de la información, “Security by Design” es la clave para asegurar la confidencialidad (que sólo los usuarios habilitados puedan acceder a la información), la integridad (que la información permanezca exacta y completa) y la disponibilidad (que sólo los usuarios autorizados puedan utilizar la información en la forma y tiempo previstos).

El registro de auditoría, conocido por el RLOPD como registro de accesos, es un mecanismo ofrecido por los sistemas para recoger los datos de los accesos, intentos de acceso y tratamientos realizados. Por consiguiente, analizando este registro, es posible detectar quiénes y desde dónde acceden, cuándo y cómo lo han hecho, y qué acciones se han realizado.

Es un mecanismo disuasorio y es importante que los usuarios sepan de su existencia y sobre todo si se conserva durante un tiempo prudencial.

Todos los sistemas mantienen registros de auditoría o log, aunque no sea capaz de matizar más que quién y cómo ha accedido y a dónde lo ha hecho, sin precisar ulteriores detalles. Las bases de datos, mantienen sus propios registros, que recogen estos movimientos y permiten detectar cambios indebidos y los usuarios que los han realizado, pero a veces no son eficientes y generan gran volumen de información.

Es por tanto necesario especializar los Registros de Accesos enfocados a las transacciones de las operaciones lógicas de los Sistemas de Información, y catalogando las diferentes formas de accesos y funcionalidades.

En general la gestión y la explotación de esta información es fácilmente manejable, pero cuando son grandes sistemas y complejos como los ”Sanitarios” se presentan grandes retos para mantener una gestión eficiente de los mismos. En esto casos nos puede obligar a salvar estos registros periódicamente para evitar su destrucción (antes de los dos años) debido a la gran necesidad de espacio requerido y que normalmente no se necesitan ser accedidos en tiempo real.

Los registros de acceso pueden no ser necesarios si ocurren dos circunstancias siguientes: que el responsable del fichero sea una persona física y que garantice que sólo él tiene acceso y trata los datos personales.

El mantenimiento durante dos años de estos registros parece una carga mayor respecto a otras normas legales, cuya justificación es la seguridad pública que sólo imponen la reserva de estos registros durante un tiempo sensiblemente menor. Es el caso de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, donde se prescribe la conservación de datos de tráfico y localización sólo durante un año.

De modo que los Registros de Acceso se constituyen como garantía de los sistemas de información y el responsable del fichero deberá contar con las aplicaciones informáticas necesarias que permitan cumplir con las exigencias establecidas en el Reglamento de desarrollo de la Ley 15/1999 en el que se recogen en la actualidad las medidas de seguridad a aplicar a ficheros y tratamientos, toda vez que el artículo 9.2 de la Ley Orgánica 15/1999 dispone que “No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.”

Autores:

Juan Díaz García
Rafael Marín Jiménez
Miguel Ángel García Hita

El décimo trabajo de Heracles: Los bueyes de Geriones (IV). Trazabilidad

Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora.  By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons
Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora. By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons

Obligaciones del Responsable de Seguridad.

Dentro del marco de datos de salud de nivel alto se establecen garantías para ser requerida por el Responsable del Fichero, obligando a la verificación por el responsable de seguridad como control periódico y de verificación del buen uso de la información.

En concreto existen las siguientes obligaciones:

  • Los mecanismos que permiten el registro de accesos  estarán  bajo  el  control directo  del  responsable  de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos.
  • El responsable de seguridad se encargará de revisar  al  menos  una  vez  al  mes la  información  de  control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.
  • De modo que se debe incluir en el Documento de Seguridad los procedimientos para realizar el informe mensual sobre el registro de accesos a los datos de nivel alto regulado por el artículo 103 del RLOPD.

 

Autores:

Juan Díaz García
Rafael Marín Jiménez
Miguel Ángel García Hita

El décimo trabajo de Heracles: Los bueyes de Geriones (III). Trazabilidad

Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora.  By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons
Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora. By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons

Acceso a los datos personales – Fundamentos legales.

Con carácter general el artículo 15.1 de la Ley Orgánica 15/1999 dispone que “El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos así como las  comunicaciones  realizadas  o  que  se  prevén  hacer  de  los  mismos”

Desde el punto de vista sanitario en el artículo 18 “Derechos de acceso a la historia clínica” de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, recoge:

  1. El paciente tiene el derecho de acceso, con las reservas  señaladas  en  el  apartado  3  de  este  artículo, a  la  documentación  de  la  historia  clínica  y  a  obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos.
  2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.
  3. El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.

 

La  ley  41/2002  recoge  los  supuestos  en  los  que  se  justifica  la  limitación  del derecho de acceso ejercido por el paciente. Esta limitación afecta a:

  • Los  datos  confidenciales  que  afectan  a  terceras  personas  y  que  han  sido recogidos en interés terapéutico del paciente. (Artículo 18.2)
  • Las anotaciones subjetivas que los profesionales hayan hecho constar
  • Los  datos  cuyo  acceso  deba  limitarse  por  razones  justificadas  de  necesidad terapéutica (derivada del artículo 5.4 que limita igualmente el derecho a la información por la existencia acreditada de un estado de necesidad terapéutica, y de la que el médico dejará constancia en la HC).

Por tanto queda claramente delimitado que no incluimos la información de terceros recogidos en la Historia Clínica como parte de esta problemática.

El Real Decreto 1720/2007, de 21 de diciembre, desarrolla en el artículo 27, en sus apartados primero y segundo, de acuerdo con los cuales:

  1. El  derecho  de  acceso  es  el  derecho  del  afectado  a  obtener  información sobre  si  sus  propios  datos  de  carecer  personal  están  siendo  objeto  de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como  la  información  disponible  sobre  el  origen  de  dichos  datos  y  las comunicaciones realizadas o previstas de los mismos.
  2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero o a la totalidad de sus datos sometidos a tratamiento. No  obstante,  cuando  razones  de  especial  complejidad  lo  justifiquen,  el responsable  del  fichero  podrá  solicitar  del  afectado  la  especificación  de  los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ello.
  3. El  derecho  de  acceso  es  independiente  del  que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

Por su parte, el artículo 11 de la LOPD, al regular las cesiones de datos, establece que los datos de carácter personal sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.

Autores:

Juan Díaz García
Rafael Marín Jiménez
Miguel Ángel García Hita

 

El décimo trabajo de Heracles: Los bueyes de Geriones (II). Trazabilidad

Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora.  By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons
Herakles fighting Geryon (dying Eurytion on the ground). Side A from an Attic black-figure amphora. By Deutsch: Gruppe E English: E Group Français : Groupe E (Marie-Lan Nguyen (2006)) [Public domain], via Wikimedia Commons

Registros de Accesos.

Los registros de accesos son la respuesta para asegurar el principio de “Trazabilidad” de  todos los sistemas de información (p.ej. Historia Clínica Electrónica, Departamentales, Laboratorios, Radiología, Sistemas de imagen médica, Registros del sueño, etc.), de modo que se pueda verificar la pertinencia de uso de sus registros, sus ciclos de vida e incluso la calidad de la información contenida.

El artículo 103 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007 establece que “De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.”

En este caso estos registros están enfocados a registrar la identidad de quien maneja la información y que actividad hace de ellos.

El informe de la AEPD 0584/2009, interpreta el artículo 103, donde el control de los accesos deberá efectuarse de la forma más detallada posible, a fin de conocer efectivamente quién ha podido en cada momento conocer los datos incorporados al sistema, es decir, a qué datos o recursos se ha accedido, sin que puedan efectuarse meros controles genéricos, por referencia al sistema en conjunto.

Así en informe de 16 de enero de 2006, se señala   la interpretación que debe darse al precepto al aclarar que del mismo  “se deduce que el registro de accesos   se   refiere   al   fichero   y,   dentro   del   fichero,   a   los   distintos   registros accedidos, es decir, a los concretos datos personales que se consultan.”  Indica también cuál es la finalidad de la medida de seguridad apuntando que   “El aspecto   esencial   a   tener   en   consideración   en   estos   casos   será   el   que la  información   almacenada   en   el   registro   de   accesos   permita   identificar inequívocamente qué persona ha tenido acceso y a qué información contenida en el fichero en cada momento, a fin de que, en caso de ser necesario reconstruir cuándo y cómo se produjo una determinada revelación de un dato, sea posible identificar la persona que pudo conocerlo en ese momento concreto.”

Concluye   el   aludido   informe   que   “Por  tanto,   el   control   de   los   accesos deberá   efectuarse   de   la   forma   más   detallada   posible,   a   fin   de   conocer efectivamente quién ha podido en cada momento conocer los datos incorporados al sistema, es decir, a qué datos o recursos se ha accedido, sin que puedan  efectuarse meros controles genéricos, por referencia al sistema en su conjunto.”

El período mínimo de conservación de los datos registrados será de dos años.

La medida de seguridad constituida por el registro de acceso regulado en el artículo 103 del Reglamento solamente conoce una excepción, prevista en el número 6 del mismo artículo que establece lo siguiente:

“No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:

  • a. Que el responsable del fichero o del tratamiento sea una persona física.
  • b. Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales.

La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.”

Autores:

Juan Díaz García
Rafael Marín Jiménez
Miguel Ángel García Hita