La visión penal de los accesos indebidos a la historia clínica

Este sábado pasado he tenido la oportunidad de participar en un ya clásico, como es el encuentro Global de Neumología, que con el auspicio de la Sociedad Española de Neumología y Cirugía Torácica SEPAR, organiza Sanitaria 2000, y en concreto en la mesa sobre confidencialidad e intimidad del paciente, dando la visión penal de los accesos indebidos a la historia clínica.

Ello me ha hecho revisar algunas Sentencias sobre este particular. Una primera trató la actuación de un coordinador médico que accedió a la historia de un colega, en situación de Incapacidad Temporal, para conocer quién era el médico de cabecera de aquel. En este caso el coordinador fue condenado por la Audiencia a 3 años y 3 meses de prisión, multa de 21 meses e inhabilitación absoluta por tiempo de 9 años, por tanto comportaba la pérdida de su plaza estatutaria.

La pena le pareció tan desproporcionada al propio tribunal condenante que solicitó el indulto en la propia sentencia. El Tribunal Supremo revocó la sentencia condenatoria impuesta al coordinador, por no haberse probado en el juicio que accediera a datos clínicos, propiamente dichos, ya que sólo se demostró el acceso del coordinador a un dato: el nombre del médico de cabecera, un dato meramente administrativo, cognoscible por cualquier otro medio. El Tribunal mantiene que esta conducta es atípica penalmente, aunque advierte de que pudiera sancionarse administrativamente.

Otro caso fue el del médico que accedió a las historias de pacientes de sus colegas del centro de salud, sin que fueran pacientes suyos. El médico imputado, aprovechándose de tal condición y utilizando su número de usuario y contraseña personal entró repetidamente, sin autorización y sin que mediara relación asistencial entre ellos, hasta en un total de veinticinco ocasiones en la base de datos, consultando las historias clínicas de pacientes de sus compañeros en la zona básica de salud, descubriendo con su proceder datos reservados de estas personas de especial relieve (salud) y por tanto, vulnerando su derecho constitucional a la intimidad personal.

El Tribunal, entendiendo que la actuación del médico infringía además el Código de Deontología Médica (apartado 3º del artículo 27: El hecho de ser médico no autoriza a conocer información confidencial de un paciente con el que no se tenga relación profesional) declaró culpable al acusado de un delito de descubrimiento y revelación de secretos, previsto y penado en el artículo 197.1, 2, 6 y 198 del Código Penal, imponiéndole las penas de dos años, seis meses y un día de privación de libertad, multa de diecisiete meses a razón de quince euros diarios, con responsabilidad personal subsidiaria en caso de impago, inhabilitación absoluta por tiempo de seis años y al abono de las costas procesales.

Otra Sentencia esta del Tribunal Supremo, condenó a una enfermera por facilitar a su hermana en trámite de separación del marido, datos sanitarios de la mujer con la que este convivía supuestamente para proteger a los menores, para lo que aprovechando su cometido laboral que desempeñaba en el Servicio de Urgencias de un Hospital accedió con su clave personal a la base de datos accediendo al historial clínico de la paciente, lo que le permitió conocer sus datos clínicos y personales, y en concreto diecinueve ingresos relacionados con distintas especialidades médicas.

La enfermera informó de ello a su hermana, quien a través de su representación procesal y asistida por la preceptiva defensa técnica, presentó ante al Juzgado de Primera Instancia escrito pidiendo la suspensión cautelar del régimen de visitas a favor del padre de sus hijos. En concreto se hacía constar en la demanda: "pero la cuestión pasa a ser gravísima cuando esta misma semana esta parte ha tenido conocimiento que ha sido ingresada al menos en cuatro ocasiones en el Hospital, por intento de suicidio por ingesta de barbitúricos y la cuarta además de la ingesta de barbitúricos, con un cuchillo se ha cortado las venas. También esta parte ha tenido conocimiento que esta señora fue atendida hospitalariamente por ingesta o sobredosis de medicamentos con conducta suicida. Quienes la conocen afirman que tiene trastorno de personalidad”.

El Tribunal Supremo, en la sentencia citada emite fallo condenatorio, que confirma el del Tribunal de instancia, por desestimación del recurso interpuesto, con el siguiente contenido: “Condenar a la acusada como criminalmente responsable en concepto de autora de un delito de descubrimiento y revelación de secretos Imponerle por tal motivo la pena de un año y nueve meses de prisión, accesoria de inhabilitación especial del derecho de sufragio pasivo por igual tiempo, multa de nueve meses, con la cuota día de diez euros, con la responsabilidad personal subsidiaria de un día de privación de libertad por cada dos cuotas día no satisfechas… Imponerle el pago de la mitad de las costas procesales, incluidas las de la acusación particular, debiendo  indemnizar …..por daño moral.

Otra Sentencia de Audiencia Provincial muestra que también es factible el acceso a la historia por parte del personal de gestión que realice funciones de apoyo al ámbito asistencial, acceso limitado, naturalmente, al objeto y contenido estricto de su función.

Esta limitación, de ser excedida, hace incurrir a su responsable en exigencias penales. En este caso se condenó a la persona que “…se hizo con la historia clínica de quien fue su esposo, relativa a asistencias prestadas en el hospital en el que trabaja como administrativa, desempeñando tareas como secretaria de la Subdirección Médica de Calidad. La acusada, se hizo con la historia clínica de quien fue su esposo, de quien entonces se encontraba en trámites de separación, relativa a asistencias prestadas al mismo en el referido hospital. La infracción penal se considera incluida, en este caso en el artículo 197. 2 y 6 del Código, en los sentidos siguientes que recoge la citada resolución judicial: “…al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado", así como "a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero": Para el acceso y apoderamiento de la Historia Clínica se prevalió de su cargo o profesión y en ese sentido la sentencia recoge que: “… es sabido que prevalerse supone el aprovechamiento de la función que se realiza para cometer un hecho delictivo con mayor facilidad, sin que se trate de una agravación especial anudada a la función pública, puesto que cualquier servidor público puede cometer cualquier clase de delitos en los que resulta irrelevante su conducción de ejercicio de función pública…” Esta especial posición le permitió su acción delictiva, pues “…los documentos a que se contrae la acusación (historial médico de un paciente confeccionado y depositado en un hospital) contienen datos de carácter reservados, que no están al alcance de cualquier persona.” Añade más adelante que “…los datos a los que de una forma u otra tuvo acceso la acusada tenían carácter reservado y albergaban información personal relativa a la salud de quien fue su marido, a quien jamás pidió autorización a sabiendas de que no le sería dada y omitiendo acudir a la petición a la autoridad judicial preceptiva”.

Nuestro Código Penal es muy severo en la consideración de estas conductas y la aplicación de este cuerpo normativo por los tribunales es contundente en ocasiones como la de esta sentencia. 

El fallo tuvo el siguiente pronunciamiento: “Condenamos como autora de un delito de revelación de secretos ya definido, sin que concurran circunstancias modificativas de su responsabilidad criminal, a las penas de dos años, seis meses y un día de prisión, con la accesoria de inhabilitación especial para el derecho de sufragio pasivo durante el tiempo de la condena, y multa de dieciocho meses y un día , con una cuota diaria de 4 euros, así como al pago de las costas devengadas en la tramitación de esta instancia”.

El vigente Código Penal, sometido a un proceso constante de revisión, sigue generando, como tuve ocasión de comprobar en estas jornadas que he citado, la zozobra de nuestros médicos, que cada día reciben peores noticias sobre su responsabilidad civil y penal. Noticias en muchas ocasiones difusas y sesgadas sobre el texto punitivo, pero que cuando se les informa objetivamente y con detalle, explicando muchos de los riesgos en los que se encuentran diariamente, junto a la realidad en muchos casos ignorada de sus consecuencias, puede detectarse esa incertidumbre, que hace recelar a nuestros sanitarios de su seguridad frente a reclamaciones infundadas o querellas y denuncias arbitrarias. Y no es consuelo la posibilidad, anunciada por no pocos juristas, de que al final serán absueltos y resplandecerá su inocencia, porque junto a la existencia de Sentencias condenatorias como las comentadas, sienten que la posición de acusado supone una “pena de banquillo”, más grave en un facultativo cuya profesión está emparentada con el actuar ético, proceder humano y el sentido de solidaridad y del servicio a los demás.

La utilidad de la Historia Clínica es incuestionable y voy a obviar, ahora, los provechos que de su correcto manejo se derivan para los pacientes, para los profesionales y para el medio (público o privado) en el que se ubique una historia clínica.

Si es incuestionable su utilidad, del mismo modo lo es la necesidad de proteger la historia de accesos indebidos. Se encuentra en juego la intimidad de la persona a la que se refiere dicho documento si no ponemos los necesarios medios de protección: normativos, técnicos y operativos. Este bien jurídico protegido goza de la máxima protección legal.

La historia clínica está sujeta a la normativa general sobre protección de datos personales y a la regulación específica de la legislación sanitaria. Se trata de un compendio de información que integra, más allá de datos sanitarios, otros que desbordan este concepto, arrojando una variada tipología de matices que permiten dibujar un amplio panorama de algunos de los aspectos más sensibles del individuo. La trascendencia de la información que atesora y la necesidad de compatibilizar los diferentes usos a los que está sujeta, con el respeto a los derechos de sus titulares, justifica la construcción alrededor de este tipo de documentos de un régimen de especial protección.

Confluyen en el tratamiento de la Historia Clínica, en sus distintos aspectos, varias normas en nuestro Ordenamiento Jurídico. Con carácter principal la Ley 41/2002, de 14 noviembre 2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, así como el Código Deontológico Médico de julio de 2011. Contienen, también, preceptos relacionados con el asunto que nos ocupa la Ley 14/1986, de 25 de abril, General de Sanidad, así como la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal y Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo. También, ya en vigor, el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Y por último, el Código Penal, L.O. 1/2015, de 30 de marzo, por la que se modifica la L.O. 10/1995, de 23 de noviembre, del Código Penal a través de sus artículos 197 y siguientes.

El Código Penal, dedica el Título X a “Los Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio”, y en el en el artículo 197, tipifica varias conductas punibles bajo la rúbrica de “Delito de descubrimiento y revelación de secretos”.

Artículo 197 1. “El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses”

2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.

Conductas punibles en la que es muy fácil incurrir, por los profesionales sanitarios en el ejercicio de su trabajo y las consecuencias jurídicas son muy graves por el mero acceso, sin estar autorizado, a datos de carácter personal registrados en la historia clínica. La historia clínica, en efecto, contiene legalmente, artículo 15 de la Ley 41/2002 de Autonomía del Paciente, datos personales y de salud, que están legalmente calificados por la Ley 15/1999, de Protección de Datos como especialmente protegidos.

Regulación igualmente contenida en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Que entró en vigor a los veinte días de su publicación y será aplicable a partir del 25 de mayo de 2018, siendo obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

El nuevo Reglamento define los datos salud, de forma mucho más amplia que la prevista en el Art. 5.1 g) del Real D 1720/2007, de desarrollo de La Ley Orgánica de Protección de datos, como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”.

Esta definición no solo se refiere a los datos relacionados son la salud de la persona tanto en su vertiente física como mental, sino que también incluye como datos especialmente protegidos, aquellos sobre el estado de salud:

El considerando 35 del Reglamento, establece “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.

La normativa sobre la Historia Clínica describe ésta como un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Partiendo de esta consideración, y únicamente con esta finalidad, la de "asistir al enfermo";, se permite a los profesionales sanitarios que realizan el diagnóstico o el tratamiento del paciente, el acceso a su historial médico. Más allá de este supuesto, es decir, sin principio de vinculación, ni existencia de un motivo asistencial que lo justifique, los profesionales de la salud ni pueden ni deben acceder a las historias clínicas.

La pena por incurrir en la conducta de acceso indebido está agravada cuando quien accede indebidamente a los datos es un funcionario público, condición ésta que no cabe duda de que concurre, a los efectos del Código Penal, en el personal de los servicios de salud, cuya relación está claramente definida en el Estatuto Marco del Personal estatutario como “funcionarial especial”.

La facilidad con la que una conducta puede incardinarse en ese subtipo punible es escalofriante, ya que no se exige la existencia de un perjuicio para tercero, puesto que el delito se consuma en cuanto se accede a los datos, es decir por su mero conocimiento indebido, el perjuicio consiste en meramente conocer los datos.

De esta forma, un facultativo que mediante su propia clave de acceso a la base de historias clínicas acceda de forma indebida a los datos clínicos contenidos en las mismas de cualquier usuario, incurre en el delito de descubrimiento de secretos, ya que ha violado la intimidad de la persona. Violar el principio de vinculación no supone sólo una infracción deontológica, sino eventualmente también de naturaleza penal.

Recoge el Código Penal, en su art. 199.2: “El profesional que, con incumplimiento de sus obligaciones de sigilo o reserva, divulgue los secretos de otra persona será castigado con la pena de prisión de uno a cuatro años, multa de doce a veinticuatro meses e inhabilitación especial para dicha profesión por tiempo de dos a seis años”.

El sujeto activo de la infracción es el profesional y no cabe duda que tal categoría alcanza al médico. No pocos textos penales extranjeros se refieren específicamente a médicos, dentistas, farmacéuticos, abogados, etc.

Actualmente hay que incluir, junto a los médicos en sus diversas y variadas especialidades, a los enfermeros y resto de profesionales sanitarios, porque el cometido de determinadas actividades a estos profesionales colaboradores del médico resulta fundamental en el ámbito de la moderna medicina asistencial.

Por el contrario, los estudiantes en prácticas no podrán ser incardinados en la autoría propia de los sujetos de la infracción, porque el delito que nos ocupa constituye un delito especial y la revelación realizada por el alumno se tendrá que castigar, no por este precepto, sino por el art. 199.1 (“El que revelare secretos ajenos, de los que tenga conocimiento por razón de su oficio o de sus relaciones laborales...).

Otro tanto ocurre con relación a los herederos del médico.

Actuar fuera del antes mencionado principio de vinculación puede hacer a su responsable incurrir en infracciones administrativas, laborales e incluso penales que son las que estamos tratando, como se ha recogido en diversas sentencias.

El tratamiento penal del descubrimiento de secretos para los profesionales sanitarios es particularmente grave. La STS. 234/1999 de 18 de febrero, precisa que la norma requiere la existencia de un perjuicio añadido para que la violación de la reserva integre el tipo, un perjuicio que puede afectar, al titular de los datos o a un tercero, perjuicio que se produce siempre que se trata de un dato considerado “sensible” por ser inherente al ámbito de su intimidad más estricta.

De igual modo la STS 1328/2009, de 30 de diciembre, diseccionaba en cuanto a la distinción entre datos “sensibles” y los que no lo son, precisando que los primeros son por sí mismos capaces para producir el perjuicio típico, por lo que el acceso a los mismos, su apoderamiento o divulgación, poniéndolos al descubierto comporta ya ese daño a su derecho a mantenerlos secretos u ocultos (intimidad) integrando el “perjuicio” exigido, mientras que en los datos “no sensibles”, no es que no tengan virtualidad lesiva suficiente para provocar o producir el perjuicio, sino que debería acreditarse su efectiva concurrencia. Es conducta, igualmente agravada aquella de acceso indebido, que realiza un funcionario público como autor, siendo conveniente hacer, alguna matización a este respecto.

Tanto la doctrina como la jurisprudencia han puesto de relieve que el Código Penal se ha decantado por un concepto amplio del término “funcionario”, situándose un poco más allá del derecho administrativo a la hora de fijar este elemento normativo en varios de sus tipos penales. Así por ejemplo, la Sentencia del Tribunal Supremo de 14 de marzo de 2012 entre otras muchas, ha señalado que el concepto de funcionario público contenido en el artículo 24 del Código Penal, según el cual se considera funcionario público a todo el que por disposición inmediata de la Ley, por elección o por nombramiento de Autoridad competente participe en el ejercicio de las funciones públicas, es un concepto aplicable a efectos penales, como se desprende del mismo precepto, y es diferente del característico del ámbito administrativo, dentro del cual los funcionarios son personas incorporadas a la Administración pública por una relación de servicios profesionales y retribuidos regulada por el derecho administrativo. En el derecho penal el concepto es más amplio, pues sus elementos son dos exclusivamente: el relativo al origen del nombramiento, que ha de serlo por una de las vías que el artículo 24 enumera y, la participación en funciones públicas, con independencia pues de otros requisitos referidos a la incorporación formal a la Administración Pública o relativos a la temporalidad o permanencia del cargo (STS 23.05.05), e incluso a la clase o tipo de función pública que se desempeñe.

La gravedad del acceso a la historia clínica de un paciente con el que no se tiene relación profesional radica en que esta conducta atenta contra el derecho a la intimidad personal recogido en el artículo 18.4 de la Constitución. Lo que supone como ya he indicado, que el simple acceso no consentido a la historia clínica está penado por la ley, sin necesidad de que con ello se produzca un daño concreto, ya que la jurisprudencia entiende que sólo con el acceso se infringe el derecho a la intimidad del paciente