El Servicio Extremeño de Salud es reprendido por no facilitar a una madre el historial clínico de salud de su hijo

La Agencia Española de Protección de Datos ha reprendido al Servicio Extremeño de Salud (SES) por no atender las solicitud de una ciudadana que ejerció su derecho de poder acceder al historial clínico de su hijo menor de edad.

La falta de respuesta por parte de la administración pública constituyó una infracción del artículo 15 del Reglamento General de Protección de Datos (RGPD), el cual dispone que el interesado —en este caso la madre del menor de edad— tiene derecho a obtener del responsable del tratamiento —en este caso, el SES— confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales.

En base a dicha infracción del artículo 15 RGPD, la Agencia Española de Protección de Datos instó al Servicio Extremeño de Salud para que en el plazo de 10 días hábiles remitiera a dicha progenitora certificación en la que, o bien atendiera el derecho solicitado, o bien se lo denegase de forma motivada e indicándole las causas por las que no procede a atender la petición.

No obstante, el SES lejos acatar la resolución de la AEPD y de atender la solicitud, no cumplió las actuaciones requeridas en el plazo otorgado para ello. Ante esta inacción por parte del Servicio Extremeño de Salud la Agencia volvió a requerir al SES hasta en dos ocasiones para que remitiera a la parte reclamante certificación del cumplimiento de la resolución indicando y notificara a dicha Agencia las medidas adoptadas al respecto.

Sin embargo, transcurrido el plazo de la resolución inicial y de los sucesivos requerimientos, el Servicio Extremeño de Salud continuó sin remitir respuesta alguna que acredite que había atendido el derecho de acceso ejercido, o en su caso, que lo había denegado motivadamente.

Ante tales hechos, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al SES por infracción del artículo 58.2 del RGPD, tipificada como falta muy grave en el artículo 83.6 del RGPD.

Agencia Española de Protección de Datos. (Imagen: AEPD)

Obligación incumplida

Los hechos expuestos y cometidos por parte del Servicio Extremeño de Salud son constitutivos de una vulneración del artículo 58.2 del Reglamento General de Protección de Datos (RGPD), el cual en su apartado c) impone al SES, como encargado del tratamiento de datos personales de salud, la obligación de atender las solicitudes de ejercicio de los derechos del interesado.

Asimismo, esa infracción —la vulneración del art.58.2 RGPD— está tipificada en el artículo 83.6 RGPD, que estipula que “el incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000 000 euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”.