La Agencia Española de Protección de Datos (AEPD) ha dictado una resolución que supone una importante redefinición de requisitos en relación con el derecho de acceso de los pacientes a la documentación que integra su historia clínica. En particular, la AEPD considera que las denominadas “anotaciones subjetivas” forman parte de la historia clínica y deben ser facilitadas al paciente, salvo que concurra alguna de las excepciones previstas legalmente.
La resolución tiene su origen en la reclamación presentada por un paciente frente a una clínica de psicología, a la que había solicitado el acceso completo a su historia clínica psicológica. En concreto, reclamaba los resultados brutos de todas las pruebas psicológicas y neuropsicológicas realizadas, sus puntuaciones y métricas, los informes y valoraciones derivados de dichas pruebas, los metadatos relativos a su creación, modificación y acceso, así como información sobre las posibles comunicaciones de sus datos de salud a terceros.
La clínica respondió que no estaba obligada a permitir el acceso directo al expediente ni a entregar las “anotaciones subjetivas” o de trabajo interno de los profesionales, y que el paciente tenía derecho únicamente a conocer el informe de seguimiento terapéutico y a aquellos documentos formalmente incorporados al proceso de intervención. Además, la entidad condicionó la entrega del informe al pago de 100 euros.
La AEPD considera que la clínica no atendió correctamente el derecho de acceso previsto en el artículo 15 del Reglamento General de Protección de Datos (RGPD). La AEPD analiza conjuntamente la normativa de protección de datos y el artículo 18 de la Ley 41/2002, de autonomía del paciente, que reconoce el derecho de acceso a la documentación de la historia clínica, pero permite a los profesionales oponer la reserva de sus anotaciones subjetivas.
La novedad de la resolución reside precisamente en delimitar el alcance de esta excepción. La AEPD considera que la reserva de las anotaciones subjetivas no puede convertirse en una exclusión general de la información relativa al paciente. Por tanto, cuando dichas anotaciones formen parte de la historia clínica y contengan información sobre el propio interesado, deberán facilitarse, salvo que concurra alguno de los límites legalmente establecidos.
Sin embargo, la AEPD mantiene fuera del derecho de acceso las notas de carácter estrictamente interno, provisional o de uso exclusivamente personal del profesionalsanitario. También podrán quedar limitadas aquellas anotaciones que contengan datos personales de terceras personas, o cuyo acceso pueda ocasionar un perjuicio grave para la salud física o mental del paciente o de terceros. En estos supuestos, la restricción deberá estar debidamente justificada y motivada.
Adicionalmente, la AEPD establece que las hojas de respuestas del paciente, las puntuaciones brutas, percentiles, baremos, resultados numéricos, tiempos de respuesta, patrones de rendimiento y demás métricas obtenidas durante la evaluación son datos personales y, por tanto, están comprendidos en el derecho de acceso. Lo mismo sucede con los informes interpretativos, perfiles psicológicos, diagnósticos y valoraciones clínicas, al constituir datos personales derivados o inferidos del paciente.
Por su parte, la protección de la propiedad intelectual de los test puede limitar el acceso al propio material de la prueba, pero no permite impedir el acceso a los resultados, puntuaciones o interpretaciones obtenidos a partir de ella.
Otro elemento destacado es el relativo a los registros de acceso a los datos de salud. La AEPD considera que la evolución del Derecho de la Unión Europea, y especialmente el Reglamento relativo al Espacio Europeo de Datos de Salud, introduce un estándar reforzado de transparencia. Aunque las nuevas obligaciones no empezarán a ser exigibles hasta marzo de 2027, la AEPD entiende que, como regla general, el paciente debe poder conocer quién ha accedido a sus datos de salud. La identificación podrá limitarse excepcionalmente cuando existan razones concretas y proporcionadas que lo justifiquen, pero no puede excluirse de forma automática.
Finalmente, la AEPD estima la reclamación por infracción del artículo 15 del RGPD y requiere a la clínica para que, en el plazo de diez días hábiles desde la notificación de la resolución, atienda el derecho de acceso solicitado o, en su caso, deniegue motivadamente aquellas partes cuyo acceso no proceda.