Alberto Andérez González
Director de Administración y Recursos Humanos del
Servicio Navarro de Salud-Osasunbidea
Asesor Jurídico del Gobierno de Navarra
Letrado de la Administración de la Seguridad Social

PRESENTACIÓN EN DIAPOSITIVAS

A pesar de que la historia clínica en soporte informático puede considerarse desde hace un cierto tiempo como una realidad consolidada, existe con frecuencia la impresión de que el análisis legal de esta materia vuelve continuamente sobre las mismas cuestiones y dudas interpretativas y, más aún, que algunas de estas incertidumbres de naturaleza jurídica no terminan de ser despejadas ni por la regulación legal de la materia, ni por el criterio unánime de los aplicadores e intérpretes de la misma.

A ello contribuye indudablemente la lentitud que se aprecia en la producción y evolución normativa con relación al dinamismo de la realidad social; circunstancia que concurre tanto en el Derecho sanitario, como la normativa reguladora de los sistemas de información, y que motiva el retraso, en ocasiones notable, con que el ordenamiento jurídico da respuesta a los nuevos problemas y debates generados por el progreso social y tecnológico.

No es éste, sin embargo, el único factor que explica la sensación anteriormente señalada. Se hace preciso recordar, en efecto, que el Derecho se configura ante todo como un instrumento de resolución de conflictos entre intereses en colisión. Esta caracterización, por un lado, dificulta, cuando no impide, una regulación exhaustiva que agote la solución a la variedad de situaciones concretas que ofrece la realidad, y suscita, por otro, notables dudas de interpretación de las normas en determinados supuestos en que convergen principios y bienes jurídicos contrapuestos.

En este contexto, el presente estudio, fruto de la ponencia presentada en el Seminario sobre Innovaciones en Tecnologías de la Información en Salud, trata de efectuar un breve recorrido por las principales cuestiones de índole legal planteadas en relación con la historia clínica electrónica, actualizado con el análisis de las novedades legislativas, alguna de ellas en fase de inminente aprobación, que afectan al tratamiento de las cuestiones examinadas.

Para realizar esta labor debe partirse de la confluencia sobre esta materia de un doble conjunto de normas; dualidad que en determinados casos contribuye a perfilar la solución en Derecho a las diversas cuestiones relacionadas con la información clínica en soporte electrónico, pero que genera, en otros, importantes dudas debido a la falta de coincidencia en el tratamiento de algunas de tales cuestiones.

El primero de los bloques normativos a que hemos hecho referencia viene constituido por la propia legislación sanitaria.

En relación con este sector del ordenamiento debe resaltarse la complejidad específica que deriva de la configuración del Estado autonómico y de la asunción, prácticamente completada en la fecha actual, de las competencias en materia de sanidad interior por parte de las distintas Comunidades Autónomas, competencia que, entre otros aspectos, comprende la facultad atribuida a estas últimas para dictar la legislación de desarrollo en esta materia.

La circunstancia reseñada ha determinado la coexistencia entre una regulación básica estatal, constituida al día de hoy fundamentalmente por la Ley General de Sanidad, de 25 de abril de 1986, y diversas normas, algunas de ellas con rango legal, dictadas por las Comunidades Autónomas teóricamente en desarrollo de aquella normativa de carácter básico.

Esta regulación autonómica, precisamente por el hecho de haber sido promulgada con posterioridad a la Ley General de Sanidad, permite completar o integrar lagunas que presenta la legislación estatal, como sucede específicamente en aspectos que tienen que ver con el empleo de las nuevas tecnologías de la información y la comunicación en el campo sanitario. Pero al mismo tiempo, y por la falta de coincidencia con la normativa estatal en el tratamiento de determinados aspectos, suscita también ciertas reservas en cuanto a su alcance, habida cuenta el carácter de norma básica que la Ley General de Sanidad predica de gran parte de su contenido, lo que en puridad delimita y restringe las facultades de desarrollo legislativo reconocidas a las Comunidades Autónomas en esta materia.

Destacan en este punto las regulaciones adoptadas, con rango de ley, en Cataluña, a través de la Ley 21/2000 de 29 de diciembre, en Galicia, con la Ley 3/2001 de 28 de mayo, y en Navarra, con la reciente Ley Foral 11/2002 de 6 de mayo. El tratamiento de la historia clínica también se ha abordado mediante norma reglamentaria en algún caso, como es el Decreto del País Vasco 45/1998, de 17 de marzo.

Sobre la situación descrita se introduce en la actualidad un elemento añadido, como es la inminente aprobación de una norma básica en la materia en virtud de la proposición de Ley básica sobre regulación de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica, actualmente en trámite parlamentario; norma que, por una lado, va a posibilitar la respuesta legal uniforme a determinados problemas para los que el anacronismo de la vigente Ley General de Sanidad no ofrece solución satisfactoria, si bien por otro, y en cuanto su contenido discrepe de las normas dictadas hasta el momento por algunas Comunidades Autónomas, puede plantear a su vez, en el ámbito de estas últimas, controversias respecto a su aplicación.

La propuesta de regulación básica estatal que se comenta constituye, por su propia naturaleza y a pesar de su falta de vigencia actual, un referente legal obligado para el examen de las cuestiones analizadas en el presente estudio. Las referencias se efectúan al texto del dictamen de la Comisión de Sanidad del Congreso de los Diputados, ya que proposición de Ley se encuentra pendiente de tramitación en el Senado en el momento de cierre del presente trabajo.

El segundo gran bloque de normas se integra por la regulación dictada en materia de protección de datos de carácter personal, constituida principalmente por la Ley Orgánica 15/1999, de 13 de diciembre (que deroga la anterior Ley Orgánica reguladora del tratamiento automatizado de los datos de carácter personal, de 29 de octubre de 1992) y las normas dictadas en su desarrollo, entre las que destaca por su importancia el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal.

Esta normativa, que desarrolla la previsión del artículo 18.4 de la Constitución (en el que se plasma lo que la doctrina viene en llamar el derecho a la libertad informática o autodeterminación informativa), no limita su alcance, como es sabido, al campo sanitario, sino que reviste un ámbito de aplicación general para todo sector de actividad (con las únicas exclusiones que la misma señala); y además lo hace extendiendo, con relación a la regulación precedente, el ámbito de aplicación de la norma a cualquier tipo de tratamiento de los datos personales, con independencia de su carácter automatizado o no.

No obstante el alcance general reseñado, su relevancia a los efectos ahora examinados es muy elevada habida cuenta, por un lado, las exigencias notables que la misma impone en relación con el tratamiento de la información referida a las personas físicas, y por otro, la especial consideración que dicha regulación otorga a los datos relativos a la salud de las personas, que se configuran como información sensible dotada del más alto grado de protección dispensado.

Con base en los dos conjuntos normativos señalados se efectúa a continuación un repaso de las principales cuestiones relacionadas con la historia clínica informatizada, algunas de ellas propias o específicas de la información en soporte electrónico, pero otras comunes también a la historia clínica en soporte convencional.

Lógicamente, la premisa de partida de todo el análisis contenido en el presente estudio viene constituida por la cuestión referida a la admisión de la historia clínica informatizada, esto es, a la posibilidad legal de efectuar el tratamiento en dicho soporte de la información de salud de las personas.

A esta cuestión ofrece respuesta afirmativa, en primer lugar, la propia regulación sanitaria, si bien el pronunciamiento expreso se contiene en las regulaciones autonómicas citadas (y en la inminente regulación básica de carácter estatal) más que en la propia Ley General de Sanidad, que evidencia en toda esta materia un desconocimiento de la incorporación de las nuevas tecnologías.

No obstante, la declaración más terminante sobre este punto se contiene en la normativa sobre protección de datos de carácter personal, y concretamente en el artículo 8 de la Ley Orgánica reguladora, que contiene una habilitación en favor de las instituciones, centros y profesionales sanitarios (tanto del ámbito público como privado) para proceder al tratamiento automatizado de los datos de carácter personal relativos a la salud de las personas que acudan o vayan a ser tratados en los mismos, sin perjuicio de la aplicación de las normas de la propia ley sobre cesión de aquéllos datos.

La previsión legal reviste importancia toda vez que la misma permite exceptuar, para el tratamiento informático de los datos sanitarios, la necesidad de consentimiento del interesado que se erige, conforme al artículo 6.1 de la Ley Orgánica, en principio general para el tratamiento de los datos personales "salvo que la Ley disponga otra cosa"; si bien dicha conclusión podía igualmente ser extraída, respecto de los centros sanitarios tanto públicos como privados, de otros preceptos de la regulación legal.

Sin embargo, el tratamiento legal en relación con la admisibilidad de la historia clínica informatizada no se agota en los aspectos señalados, sino que debe completarse con una referencia a determinadas exigencias que, no obstante la permisión legal, se asocian al tratamiento de los datos personales; nos referimos a los deberes de información establecidos con carácter general en la Ley Orgánica 15/1999, de los que destacan dos.

a) Por un lado, se encuentra la obligación de informar en todo caso al interesado de la existencia del fichero o tratamiento (con indicación de su finalidad y destinatarios) y de la identidad y dirección de su responsable; contenido que puede ser más amplio y abarcar otros extremos (como los que afectan al carácter obligatorio o facultativo de las respuestas, o al ejercicio de los derechos de acceso, rectificación, cancelación y oposición) si no se entiende que la información sobre los mismos "se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban", según el artículo 5.3 de la Ley Orgánica. A la vista de la regulación comentada, y aun a riesgo de una mayor dosis de burocratización en la relación entre las instituciones sanitarias y los usuarios de las mismas, parece ineludible incluir la mención expresa de esta información a la hora de recabar del propio paciente los datos que integran su historial clínico, del mismo modo en que se viene haciendo en cualquier otro sector de actividad.

b) Al margen de lo señalado, se contempla un deber específico de información al interesado cuando los datos de carácter personal hayan sido obtenidos de persona distinta del interesado, lo cual puede representar un problema en determinadas situaciones de la práctica médica. No obstante, la admisión de posibles excepciones a este deber siempre que vengan establecidas por normas legales puede solventar las dificultades de aplicación expuestas si prospera la previsión contenida en la proposición de Ley básica comentada, que establece respecto del acceso al historial clínico por parte del paciente la reserva de aquellos datos que hayan sido recabados de un tercero en interés terapéutico de aquél, lo que por definición debe excluir el deber de informar sobre los mismos.

La duda que respecto de esta cuestión genera la redacción original del artículo 10.11 de la Ley General de Sanidad, al exigir, como derecho del paciente, la "constancia por escrito" de su proceso (escrito, según el Diccionario de la Lengua de la Real Academia Española, equivale a carta, documento o cualquier papel manuscrito, mecanografiado o impreso), queda superada definitivamente con la solución afirmativa expresa que se contiene en las regulaciones legales dictadas con posterioridad en materia de información y documentación clínica.

En este sentido se pronuncian las tres Leyes autonómicas anteriormente citadas, al aludir con carácter indistinto a la constancia de la historia clínica en soporte papel, audiovisual o informático; términos coincidentes con los que se contienen en la Proposición de Ley básica sobre regulación de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica.

Esta solución, condicionada en gran medida por la que se dé a la validez legal de los datos consignados electrónicamente a la que nos referimos en el apartado siguiente, permite, por tanto, dar solución afirmativa a una cuestión sobre la que, en ocasiones, se ha impuesto un criterio práctico de cautela mediante la duplicidad de soporte, convencional e informático.

Tal vez la única excepción, más índole práctico que teórico, pueda venir impuesta en relación con la documentación de aquellas actuaciones que requieren la intervención del paciente, singularmente la expresión del consentimiento informado, al menos en tanto no se generalice por parte de los usuarios la utilización de mecanismos de firma electrónica reconocida en su relación con las instituciones sanitarias.

En todo caso, y tal vez como fruto del recelo que suele acompañar al retraso legal en la incorporación de los avances técnicos, es destacable cómo las propias normas citadas, a pesar de avalar el soporte exclusivamente informático de la información clínica, introducen alguna reserva respecto a la necesaria garantía de autenticidad, integridad y conservación de los datos así consignados, olvidando que, en último extremo, éstas son circunstancias que también afectan a la historia en soporte documental.

En conexión con la cuestión examinada en el punto anterior, puede afirmarse en la actualidad el valor legal de los datos consignados en soporte electrónico; lo que en último extremo supone avalar la eficacia jurídica de la declaración de voluntad expresada a través de tales medios y la admisión de los mismos como modo de acreditar o probar circunstancias de hecho con relevancia legal. A esta conclusión concurren distintas previsiones legales.

En primer lugar, debe destacarse la regulación de la firma electrónica que se contiene en el Real Decreto Ley 14/1999, de 17 de septiembre, cuyo artículo 3 atribuye idéntico valor jurídico a la firma electrónica avanzada basada en un certificado reconocido que a la firma manuscrita en los documentos consignados en papel, proclamando su admisión como medio de prueba en juicio que será valorado según los criterios de apreciación establecidos en las normas procesales.

Aun cuando esta previsión pudiera parecer, en principio, restrictiva, da- das las exigencias establecidas en la norma en relación con la firma avanzada y el certificado reconocido, la conclusión que cabe extraer es bien distinta dado lo dispuesto en el apartado segundo de dicho precepto, en el que no niega valor jurídico y validez como medio de prueba a la firma electrónica que no reúna los requisitos señalados en el punto anterior; expresión formulada en términos negativos con la que parece remitir al criterio del juzgador en cada caso la de- cisión sobre la validez o no de la misma, dependiendo, es razonable suponer, del cumplimiento y acreditación de las medidas de seguridad que avalen la integridad de los datos y la identidad del autor.

El segundo bloque normativo que avala la conclusión expuesta viene constituido por las normas procesales, y concretamente por la Ley de Enjuiciamiento Civil de 7 de enero de 2000, que en materia de medios de prueba admisibles en Derecho contempla, junto a los tradicionales, "los medios de reproducción de la palabra, el sonido y la imagen, así como los instrumentos que permiten archivar y conocer o reproducir palabras, datos, cifras y operaciones matemáticas llevadas a cabo con fines contables o de otra clase, relevantes para el proceso".

Esta norma, dada su amplitud, no parece ofrecer duda sobre la admisión como medio de prueba de todo tipo de archivos o ficheros en soporte distinto del papel; y en cualquier caso, la voluntad del legislador es clara cuando, además de los referidos, se admite igualmente cualquier otro medio de prueba distinto de los anteriores a través del cual pueda obtenerse certeza sobre datos relevantes.

La única cautela o reserva en este punto se aprecia en los criterios de valoración o apreciación de estos medios de prueba que, a diferencia de los tradicionales (sujetos a reglas de valoración predeterminadas por la Ley), que- dan remitidos a "las reglas de la sana crítica", fórmula con la que nuevamente se deja al criterio del juzgador la atribución del valor probatorio que corresponda.

Planteado no exclusivamente con relación a la historia clínica informatizada, el debate acerca del acceso del paciente a los datos e informaciones concernientes a su salud que constan en aquélla presenta un indudable interés no tanto por lo que afecta al principio general en esta materia, como en cuanto a los posibles límites o excepciones que pueden legalmente restringir dicho acceso.

En efecto, la norma general, en la que coinciden además la legislación sanitaria y la normativa sobre protección de datos, afirma el derecho del paciente a acceder a la información que sobre sus datos de salud obran en la historia clínica cualquiera que sea su soporte.

Así se afirma de manera expresa en la vigente Ley General de Sanidad (concretamente, en su artículo 61), que se completa con el derecho a la obtención de copia de los documentos que integran la historia clínica, según reconoce el Real Decreto 63/1995, de 20 de enero, regulador de las prestaciones sanitarias del Sistema Nacional de Salud.

E idéntica conclusión se desprende igualmente de los principios y derechos generales contenidos en la Ley Orgánica 15/1999, de 13 de diciembre, en cuanto el paciente se erige en titular de los datos de carácter personal que, referidos a su persona, consten en la historia clínica; condición que, entre otros, le atribuye el derecho de acceso, esto es, el derecho a obtener información en relación con dichos datos, su origen y las cesiones de que hayan sido objeto los mismos. Por otro lado, y reforzando el carácter con el que se reconoce este derecho de acceso, la regulación legal en materia de protección de datos afirma expresamente las condiciones de gratuidad que, respecto del interesado, deben garantizarse en su ejercicio, y reconoce igualmente una notable amplitud en cuanto a los medios (visualización directa o mediante escrito, copia o fotocopia) a través de los que dicho derecho puede verse satisfecho.

Sin embargo, y como hemos dicho, no es la regla general la que suscita dudas, sino la posibilidad legal de contemplar excepciones a la misma, cuestión que ha sido objeto de tratamiento sobre todo por la propia regulación sanitaria.

Sobre este punto la Ley General de Sanidad ha guardado inicialmente silencio, omitiendo cualquier mención a situaciones que justificasen una negativa al derecho de acceso ejercido por el paciente; supuestos que, sin embargo, sí han sido objeto de previsión expresa por parte de las normas ya citadas dictadas con posterioridad.

Puede tomarse como referente sobre esta cuestión la regulación prevista en la proposición de Ley básica sobre regulación de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica, que recoge los diversos supuestos anticipados por algunas de las normas autonómicas que la preceden, como son:

Con independencia de los matices u observaciones que cabe efectuar en relación con algunas de estas excepciones, lo cierto es que puede plantearse la duda respecto a su encaje en la normativa legal en materia de protección de datos de carácter personal. Ello es debido a que, en principio, esta última regulación, con rango de Ley orgánica en cuanto constituye el desarrollo de un derecho fundamental (al menos así lo ha entendido el Tribunal Constitucional), no contempla de modo directo la posibilidad de limitar o condicionar, en supuestos concretos o a través de una previsión legal expresa, el derecho del acceso reconocido al titular de los datos objeto de tratamiento.

No obstante, la admisión de estas excepciones, más aún en cuanto están avaladas por un precepto legal, parece que puede afirmarse a la vista de lo dispuesto en el artículo 18.2 de la Ley Orgánica 15/1999. Este precepto atribuye a la Agencia de Protección de Datos facultades para pronunciarse, a solicitud del interesado, respecto a la procedencia o improcedencia de la denegación de los derechos de oposición, acceso, cancelación y rectificación, lo que implícitamente viene a permitir la existencia de razones justificadas para negar el ejercicio de tales derechos.

La proposición de Ley básica reiteradamente citada da también solución expresa, en relación con la cuestión ahora examinada, a uno de los problemas que generaban notables objeciones, como es el que afecta al posible acceso al historial clínico, en sustitución del interesado, por parte de familiares y allegados del paciente.

Salvando las dificultades hermenéuticas que provocaba la conjunción de normas y principios distintos (derecho del paciente a la confidencialidad de sus datos clínicos, derechos de información reconocidos, en un exceso de la redacción inicial de la Ley General de Sanidad, a los familiares y allegados, y carácter no transmisible a los herederos de los derechos de la personalidad, con las excepciones previstas en la legislación en materia de protección del honor e intimidad de las personas), la inminente regulación legal se pronuncia a favor del reconocimiento de este acceso únicamente respecto de pacientes fallecidos y siempre que por parte del interesado no se hubiese expresado voluntad en contra.

Por otro lado, el acceso por parte de familiares y allegados no alcanza a aquella información de la que puede exceptuarse el acceso por parte del propio paciente (perjuicio de terceros y observaciones de carácter subjetivo de los profesionales), ni tampoco a aquellos datos que afecten a la intimidad del paciente, expresión cuyo alcance o interpretación no es sencillo precisar habida cuenta que, en principio, la información sanitaria reviste carácter reservado (tal vez deba entenderse como aquella información que, por voluntad expresa o tácita del paciente, se haya sustraído al conocimiento por parte de familiares y allegados, en coherencia con el tratamiento que la propuesta de regulación otorga al derecho de información).

El debate en torno a las obligaciones de conservación de la historia clínica, con independencia del soporte en que se contenga, ha sido objeto de un peculiar giro en su planteamiento, en gran medida motivado por la irrupción de la nueva regulación legal en materia de protección de datos de carácter personal.

En efecto, las dudas respecto a los plazos en que debe guardarse la documentación clínica (o en otros términos, respecto de las posibilidades de destrucción total o parcial de la misma) se generan inicialmente desde el ámbito de las propias instituciones sanitarias, debido sobre todo a los problemas que origina su almacenamiento físico. En este primer momento, el silencio de la normativa sanitaria sobre este punto concreto, unido a una cautela de carácter práctico derivada de la proliferación de distintas vías de reclamación por los daños causados con motivo de la prestación de asistencia sanitaria con plazos de prescripción en algunos casos ciertamente largos, avalaban un criterio de prudencia a favor de una conservación en principio indefinida de la historia clínica, o al menos de sus documentos más relevantes.

Sin embargo, y paradójicamente cuando el uso del soporte electrónico permite solventar gran parte de los problemas de conservación aludidos, la cuestión adopta un enfoque distinto, como es el de su posible consideración desde la óptica de los derechos reconocidos al paciente como titular de los datos.

Así resulta del principio general contenido en la Ley Orgánica 15/1999, de 13 de diciembre, conforme al cual los datos de carácter personal deberán ser cancelados de oficio cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados (artículo 4.5), y cuyo fundamento subyace igualmente al derecho reconocido al interesado a exigir la cancelación de sus datos de carácter personal cuando su tratamiento no se ajuste a lo dispuesto en dicha Ley (además de en los casos en que los mismos resulten inexactos o incompletos).

No es ocioso recordar, por otro lado, que el reconocimiento de los derechos de acceso, rectificación y cancelación del interesado constituye el único aspecto de la norma legal comentada que resulta de aplicación inmediata a los ficheros no automatizados (frente al grueso de su regulación, cuya efectividad respecto de tales ficheros queda diferida al 24 de octubre de 2007), lo que motiva que la cuestión ahora examinada alcance por igual a la historia clínica en soporte convencional.

Este planteamiento genera serias dificultades de interpretación, la primera de ellas, y fundamental, la relativa a cuál se considera que es la finalidad de la historia clínica, en la medida que el cumplimiento de la misma debiera originar el deber de cancelación señalado. Desde esta perspectiva la solución no es sencilla, pues si bien no cabe dudar de que el fin primordial que justifica la existencia y utilización de la historia clínica es la prestación de asistencia al paciente, tampoco puede desconocerse que la misma sirve igualmente a otros usos (epidemiológicos, de investigación, docentes, de inspección y evaluación), como expresamente viene reconocido en las recientes normas sobre documentación clínica ya citadas.

Esta falta de coincidencia, cuando no abierta contradicción, entre la regulación en materia de protección de datos y el Derecho sanitario no hace sino evidenciar una colisión entre intereses jurídicos distintos en materia de conservación de la documentación clínica; por un lado, los que afectan al paciente en cuanto titular de los datos recogidos en ella, cuyo carácter reservado contribuye a preservar el derecho de cancelación, y los que pueden ostentar las instituciones sanitarias (referidos a la investigación, la docencia o la misma defensa judicial), los poderes públicos o incluso terceros.

Y esta misma circunstancia justifica la conclusión principal que sobre esta cuestión cabe extraer; a saber, la necesidad de que exista una previsión legal expresa que se pronuncie respecto de los plazos de conservación de la documentación clínica, todo ello al amparo de lo dispuesto en el artículo 16.5 de la Ley Orgánica de Protección de Datos conforme al cual, y como excepción implícita al deber de cancelación, "los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado".

Así lo han venido entendiendo las distintas normas dictadas o en proyecto en materia de documentación e información clínica, si bien, y nuevamente, la valoración que ofrece el panorama legal no puede ser satisfactoria debido, sobre todo, a la dispersión y falta de coincidencia de los criterios aplicados por las distintas regulaciones.

La principal contradicción se aprecia en el propio establecimiento del plazo general de conservación. La proposición de Ley básica sobre regulación de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica fija un plazo general de conservación de, al menos, cinco años desde la fecha de alta de cada proceso asistencial.

No es éste el criterio de las regulaciones precedentes, que bien se inclinan por una norma de conservación indefinida de la información clínica (salvo determinados documentos menos relevantes), como es el caso de la Ley 3/2001, de 28 de mayo, de Galicia, o el Decreto del País Vasco 45/1998, de 17 de marzo, o bien establecen un plazo de conservación de veinte años a contar además no desde el alta, sino desde el fallecimiento del paciente, según dispone la Ley 21/2000 de 29 de diciembre, de Cataluña, seguida en este punto por la Ley Foral 11/2002 de 6 de mayo, de Navarra.

La diversidad en el tratamiento legal de la cuestión se observa también, aunque en menor medida, en cuanto a las excepciones contempladas al plazo general de conservación de la historia. La proposición de Ley básica estatal prevé a estos efectos la conservación por encima del plazo indicado con fines judiciales de acuerdo con lo señalado en la Ley (remisión de interpretación dudosa), o por razones de investigación, epidemiológicas y de organización y funcionamiento del Sistema Nacional de Salud. En estos supuestos (salvo, parece obvio, en el caso de disposición judicial) la conservación se hará, siempre que sea posible, evitando la identificación de la persona.

La referencia a la conservación de la historia clínica a efectos judiciales resulta de especial interés a la vista de las notables implicaciones que presenta la utilización de aquélla como medio de prueba, principalmente (aunque no de modo exclusivo) en relación con las reclamaciones de responsabilidad derivadas de la prestación de asistencia sanitaria. Y en este sentido, la solución que se dé a la cuestión referida a la conservación de la documentación clínica obligará, por lo menos una vez cumplido el plazo legal establecido, a revisar determinados criterios jurisprudenciales en cuanto a la carga probatoria que en este punto se hace recaer sobre las instituciones sanitarias.

A estas excepciones algunas normas autonómicas, como la catalana y la navarra, añaden las razones asistenciales y preventivas determinadas por el criterio del facultativo, lo que no deja de suscitar a su vez dudas o incertidumbres. Tal vez puedan aquí tener encaje, como excepción al deber de cancelación de los datos, otras posibles utilizaciones futuras de la historia clínica en relación con el mismo paciente o con terceros que no admiten la despersonalización de los datos.

En todo caso, y para concluir, debe señalarse que la fijación de un plazo de conservación por referencia a un plazo mínimo (superable por tanto conforme a la necesidad que pueda justificarse en cada caso) no deja de ser cuestionable desde un punto de vista jurídico, habida cuenta que la regulación legal de un deber, y un correlativo derecho del interesado, de cancelación de los datos de carácter personal parecería exigir, por el contrario, la existencia de un plazo determinado o a lo sumo máximo para dicha conservación, sin perjuicio de las excepciones que procedan.

Por su propia naturaleza, en cuanto instrumento vinculado a la prestación de asistencia al paciente, la historia clínica debe necesariamente ser accesible para los profesionales implicados en el tratamiento de aquél. No obstante, y a pesar de que como principio general no es cuestionable, esta afirmación no resuelve por sí sola la diversidad de dudas que la práctica puede originar en relación con esta cuestión.

La norma general contenida en la vigente legislación sanitaria reviste un cierto carácter restrictivo según se deduce de los términos que utiliza el art. 61 de la Ley General de Sanidad. Conforme a este precepto, el acceso a la historia clínica se habilita a los facultativos implicados directamente en el diagnóstico y tratamiento del paciente, expresión que, por un lado, excluiría del acceso, al menos en su literalidad, a colectivos profesionales distintos del personal médico, y por otro, y respecto de estos últimos, pareciera habilitar únicamente a quienes acrediten una vinculación o intervención directa en la asistencia al paciente.

La proposición de Ley básica en materia de información y documentación clínica modifica los términos de aquella previsión legal y, con una redacción más acorde con la realidad de las instituciones sanitarias, prevé en general el uso de la historia clínica por parte de los profesionales asistenciales que realizan el diagnóstico o el tratamiento del paciente (obsérvese que se eliminan las referencias a los facultativos y a la implicación directa en la prestación de asistencia).

Esta nueva regulación resulta, a su vez, novedosa en cuanto contempla de manera específica el acceso a la historia por parte del personal no asistencial (el personal de administración y gestión), si bien limitado exclusivamente a aquellos datos relacionados con sus funciones.

Debe señalarse que estos criterios, que anticipan la previsible modificación de la Ley General de Sanidad en este punto, son por lo demás coincidentes en gran medida con el sentido de las regulaciones autonómicas dictadas previamente en relación con la historia clínica, lo que permite afirmar un consenso general sobre esta cuestión.

La regulación en materia de protección de datos de carácter personal introduce algunas previsiones adicionales sobre esta cuestión. Ante todo, debe señalarse que una mayor concreción en cuanto a la relación concreta de profesionales autorizados para el acceso a la información sanitaria tampoco se deduce de las figuras, previstas en la Ley Orgánica 15/1999, del responsable del fichero o tratamiento ("persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento") y del encargado del tratamiento ("la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento"), que, sin embargo, sí contribuyen a delimitar responsabilidades en caso de acceso o utilización no autorizada de la historia clínica.

Por otro lado, y afectando de manera específica a los sistemas de información clínica, el artículo 7.6 de la Ley Orgánica 15/1999 introduce, como novedad respecto de la derogada Ley Orgánica 5/1992, la exigencia para autorizar el tratamiento, entre otros, de los datos relativos a la salud de que el mismo se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. Esta norma genera ciertas dudas interpretativas, referidas, por un lado, al significado de ese deber equivalente de secreto (puesto que, por definición, toda persona que por razón de su actividad laboral o profesional tenga acceso a información de carácter reservado viene obligada por un deber de confidencialidad respecto de la misma), y por otro, a la restricción que la misma parece implicar en cuanto al acceso por parte de profesionales no sanitarios, que, aunque de forma limitada, viene exigido por la actual organización y funcionamiento de las instituciones sanitarias.

El Real Decreto 994/1999, de 11 de junio, que aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, completa esta regulación no tanto estableciendo criterios concretos respecto de las personas autorizadas para el acceso a la información personal, como a través de otros elementos de garantía, como son:

En todo caso, y salvando algunas de las dudas apuntadas, la normativa legal sobre protección de datos confirma un criterio general restrictivo en cuanto a los accesos autorizados a los ficheros de datos clínicos, con independencia de la existencia de un deber general de secreto que se impone a toda persona que, por razón de su cargo o actividad, deba manejar información reservada como es la de carácter sanitario.

Al margen del acceso a la historia clínica por parte del propio paciente y de los profesionales de los centros e instituciones sanitarias, el debate referido a la posible existencia de otros terceros destinatarios de la información sanitaria constituye una de las cuestiones de mayor interés, que, a pesar de la parquedad inicial de la Ley General de Sanidad sobre este punto, ha venido siendo perfilada con posterioridad por la conjunción de las recientes normas sanitarias y la regulación en materia de protección de datos de carácter personal.

Conviene precisar que, en estos casos, se está planteando la posibilidad de acceso a la información clínica por parte de terceros al margen, e incluso en contra, de la voluntad del propio paciente. Obviamente, el consentimiento del interesado (titular de los datos referidos a su persona que obran en la historia clínica) legitima cualquier otro acceso fuera de los supuestos taxativamente previstos en la norma, de acuerdo con los principios generales que inspiran tanto la normativa de la protección del derecho a la intimidad personal, como la regulación contenida en la Ley Orgánica 15/1999 (si bien esta norma, para autorizar la cesión, añade al requisito de consentimiento por parte del interesado la exigencia de una finalidad legítima relacionada con las funciones del cedente y del cesionario).

De la consideración conjunta de los dos bloques normativos señalados cabe extraer la siguiente relación de supuestos de cesión o comunicación a terceros de la información clínica sin necesidad de consentimiento del paciente, supuestos que responden todos ellos a la garantía y protección de otros intereses y derechos legítimos que delimitan el alcance del derecho del paciente a la intimidad y a la reserva de sus datos sanitarios.

La revisión de las cuestiones relacionadas con la historia clínica electrónica debe concluir con una breve referencia al tratamiento dispensado a la misma por parte de las normas que regulan la protección de los bienes e intereses jurídicos implicados en ella.

En este sentido, y aun cuando no son las únicas responsabilidades que pueden derivarse de la utilización de la información clínica, exige una mención especial el ámbito de protección otorgado por el ordenamiento jurídico en garantía de la reserva y confidencialidad de los datos clínicos.

A este fin concurren, al menos, tres tipos de normas que configuran, a su vez, tres posibles tipos de responsabilidades por la vulneración del derecho a la intimidad de las personas que implica un acceso o utilización indebida de la información sanitaria.

Se sitúa en primer lugar, como instrumento de máximo reproche social, la regulación contenida en el vigente Código Penal aprobado por Ley Orgánica 10/1995, de 23 de noviembre, que respecto de la regulación anterior contiene un endurecimiento notable de la protección penal ante la vulneración de los datos de carácter reservado (se considera delito el simple acceso no autorizado por cualquier medio a archivos o registros que contengan datos personales de carácter reservado). Bien es cierto que la aplicación de esta normativa viene condicionada por la necesidad de acreditar dos extremos, como son el carácter voluntario de la conducta infractora y la plena identificación del autor (por cuanto se trata de una responsabilidad de naturaleza exclusivamente personal).

Al margen de que se entienda la existencia o no de delito, es preciso tener en cuenta que la vulneración de la confidencialidad de los datos sanitarios constituye un daño moral indemnizable económicamente a través de las vías de reclamación previstas al efecto, esto es, la civil en el caso de que el daño sea producido por un sujeto privado, y la patrimonial o administrativa en el supuesto de actuaciones imputables al funcionamiento de servicios o instituciones públicas. Debe destacarse que, a diferencia de la penal, este tipo de responsabilidades abarcan tanto a conductas voluntarias como imprudentes, y no exigen una declaración de responsabilidad personal, sino que pueden derivarse también respecto de entidades públicas o privadas.

Y en tercer lugar, deben mencionarse las responsabilidades de tipo administrativo resultantes de la aplicación del régimen sancionador dispuesto por la normativa sobre protección de datos de carácter personal, que puede comportar importantes sanciones de carácter económico en caso de vulneración de la regulación contenida en la Ley Orgánica 15/1999 por parte de personas y entidades privadas, y que, en el supuesto de infracciones cometidas por entidades públicas, puede dar lugar a la adopción de medidas conducentes a la suspensión de la conducta ilegal, con independencia de las responsabilidades disciplinarias que, a su vez, puedan derivarse.

En cualquier caso, y más que el estudio en detalle de cada uno de los regímenes señalados, interesa destacar, en primer lugar, el ámbito de protección no coincidente otorgado por cada uno de ellos. Así, la regulación civil tiene por objeto la protección de la intimidad conforme a "las leyes y (…) los usos sociales atendiendo al ámbito que, por sus propios actos, mantenga cada persona reservado para sí misma o su familia", según señala la Ley Orgánica 1/1982, de 5 de mayo. Por su parte, la tutela penal se extiende a los "datos reservados de carácter personal", expresión de carácter más restrictivo acorde con la naturaleza de máxima sanción que reviste el Derecho Penal. Por el contrario, las disposiciones en materia de protección de datos abarcan a cualquier dato de carácter personal, por el que se entiende cualquier información concerniente a personas físicas identificadas o identificables, lo que sin duda entraña un concepto más amplio que el que es objeto de protección por las normas civiles y penales. Las reflexiones de notable interés que cabe efectuar en relación con esta diversidad de ámbitos de tutela exceden, en cualquier caso, del objeto de un estudio como el presente.

Mayor relevancia tiene, sin embargo, señalar que las responsabilidades de tipo penal, civil y administrativo derivadas de la vulneración de la confidencialidad de los datos de carácter reservado alcanzan, sin lugar a duda, a la información sanitaria registrada en soporte informático. Esta conclusión, obvia en cuanto al régimen sancionador establecido por la regulación en materia de protección de datos, resulta directamente del carácter abierto con que las normas tanto civiles como penales contemplan los medios en que consten archivados o registrados los datos reservados objeto de divulgación o acceso indebido; lo cual no hace sino confirmar que también a efectos de las posibles responsabilidades legales la historia clínica informatizada es objeto de previsión por parte de la normativa vigente.

La revisión efectuada a través del presente estudio permite formular, al margen de las respuestas concretas que se den a las distintas cuestiones suscitadas, dos importantes afirmaciones.

En primer lugar, y a pesar de las incertidumbres que aún planean sobre algunas de las dudas y problemas examinados, es indudable que la historia clínica en soporte informático constituye una realidad consolidada también en el plano legal o jurídico, esto es, una figura prevista, admitida y regulada en gran medida por las normas legales dictadas en los campos del Derecho sanitario y de la regulación en materia de protección de datos.

Por otro lado, y al amparo de la propia regulación legal que le da cobertura, la historia clínica informatizada presenta, con respecto a la historia convencional, una sujeción a un grado mayor de exigencias, y por tanto también de garantías, tanto legales como técnicas. La constancia de este extremo debe avalar las condiciones de seguridad lógica y física que en que descanse la confianza que promueva su utilización de modo generalizado.