La Audiencia Provincial de Badajoz impone penas de 15 y 19 meses de prisión y tres años de inhabilitación por acceder indebidamente a información sanitaria reservada de otra trabajadora
Por Luis Ferrer Abogado
Trabajar en un hospital y disponer técnicamente de acceso al sistema informático sanitario no significa tener autorización para consultar el historial clínico de cualquier paciente.
Mucho menos el de compañeros de trabajo, familiares, conocidos o personas famosas por simple curiosidad.
La Audiencia Provincial de Badajoz ha condenado a dos enfermeras por acceder sin permiso al historial clínico de una compañera, imponiéndoles penas de 15 y 19 meses de prisión, respectivamente, además de tres años de inhabilitación.
El caso contiene una advertencia especialmente importante para todos los profesionales que trabajan con información sanitaria: tener una contraseña que permite abrir una historia clínica no equivale a tener derecho a hacerlo.
El historial médico contiene algunos de los datos más sensibles de una persona. Diagnósticos, tratamientos, pruebas, intervenciones o consultas pertenecen a una esfera especialmente protegida de su intimidad.
Por eso, acceder a esa información sin una razón asistencial o profesional legítima puede superar ampliamente el terreno de una simple irregularidad laboral o disciplinaria y llegar a constituir una conducta penal.
Las enfermeras podían acceder al sistema, pero no necesariamente a esa historia clínica
Esta distinción es esencial para comprender el caso.
Las profesionales podían disponer legítimamente de credenciales para utilizar los sistemas informáticos sanitarios como consecuencia de su trabajo.
Pero una autorización general para utilizar una aplicación no concede libertad para consultar todos los expedientes disponibles.
El acceso debe estar relacionado con las funciones profesionales que justifican disponer de esas credenciales.
Por tanto, existen dos preguntas diferentes:
¿podía la enfermera entrar en el sistema?
y
¿estaba autorizada a consultar el historial de esa persona concreta?
La primera puede responderse afirmativamente y la segunda negativamente.
El historial clínico pertenece a la esfera más íntima de una persona
Los datos relativos a la salud reciben una protección especialmente intensa.
Una historia clínica puede revelar enfermedades, tratamientos, antecedentes, intervenciones quirúrgicas, medicación, pruebas diagnósticas y numerosas circunstancias que una persona puede querer mantener absolutamente reservadas.
Que esos datos estén almacenados en los sistemas de un hospital no disminuye su carácter confidencial.
El paciente entrega esa información para recibir asistencia sanitaria, no para satisfacer la curiosidad de quienes trabajan en el centro.
Ser compañera de trabajo no autoriza a consultar sus datos médicos
Precisamente uno de los elementos que hace especialmente comprensible la gravedad del asunto es que la persona afectada era compañera de las condenadas.
En un entorno laboral sanitario puede resultar relativamente sencillo conocer que un compañero ha acudido a consulta, se encuentra de baja o está recibiendo algún tratamiento.
Pero conocer esa circunstancia no concede ningún derecho a investigar su historial.
La relación laboral, la amistad, la enemistad o la curiosidad personal no constituyen una habilitación para acceder a información sanitaria reservada.
¿Puede ser delito aunque no se publique la información?
Sí.
Esta es probablemente una de las principales enseñanzas del caso.
Existe la idea equivocada de que solo aparece un problema penal cuando los datos obtenidos se difunden posteriormente.
No necesariamente.
El acceso no autorizado a información reservada puede tener relevancia penal por sí mismo cuando concurren los requisitos establecidos en el Código Penal.
Por tanto, no es imprescindible imaginar que posteriormente se publicaron los datos en Internet, se enviaron por WhatsApp o se comunicaron a otras personas para comprender la gravedad de una consulta ilegítima.
Acceder indebidamente y divulgar posteriormente son conductas que deben diferenciarse.
“Solo lo miré” no convierte el acceso en inocuo
En un sistema sanitario informatizado, abrir una historia clínica puede parecer un acto sencillo.
Un usuario.
Una contraseña.
Una búsqueda.
Un clic.
Pero detrás de ese clic existe información protegida por el derecho a la intimidad y por la normativa sobre datos personales.
La facilidad técnica para acceder a la información no reduce su protección jurídica.
Por eso la explicación de que alguien “solo miró” no elimina automáticamente la posible responsabilidad.
El Código Penal protege los datos reservados
El ordenamiento penal español contempla los delitos de descubrimiento y revelación de secretos, dentro de los cuales se protegen determinados datos reservados de carácter personal o familiar almacenados en archivos o soportes.
Cuando la información afecta a la salud, su especial sensibilidad incrementa la importancia del deber de confidencialidad.
La calificación concreta dependerá siempre de los hechos acreditados, de la condición de quien accede, de la información consultada y de las restantes circunstancias del caso.
Por ello, no cualquier error informático constituye automáticamente un delito.
Pero el acceso consciente y carente de justificación profesional a datos sanitarios puede generar consecuencias penales graves.
La confidencialidad sanitaria no termina en médicos y enfermeras
Aunque este procedimiento afecte a dos enfermeras, la obligación de proteger los datos clínicos se extiende mucho más allá.
En un centro sanitario pueden tener distintos niveles de acceso médicos, enfermeros, auxiliares, administrativos, técnicos y otros profesionales.
Cada uno debe utilizar la información exclusivamente dentro de las funciones que justifican su acceso.
La regla fundamental es sencilla:
poder acceder técnicamente no significa poder consultar jurídicamente.
Los sistemas informáticos suelen dejar registro de quién consulta una historia
La digitalización sanitaria ha incrementado enormemente la cantidad de información disponible para los profesionales, pero también ha aumentado la trazabilidad.
Los sistemas pueden registrar datos relacionados con los accesos efectuados.
Esto puede permitir reconstruir qué usuario consultó determinada información y en qué momento, dependiendo de las características del sistema.
Los registros de acceso pueden convertirse así en una prueba especialmente importante cuando un paciente denuncia que alguien ha entrado indebidamente en su historial.
La contraseña profesional identifica al usuario y debe protegerse
Por esta misma razón, las credenciales de acceso no deberían compartirse.
Si un profesional permite que otras personas utilicen su usuario y contraseña, puede crear un problema de seguridad y también una enorme dificultad para determinar posteriormente quién realizó una determinada consulta.
La identificación individual y la trazabilidad protegen al paciente, pero también al trabajador.
Permiten diferenciar quién hizo realmente cada actuación.
No todo acceso aparentemente extraño tiene que ser ilícito
También es importante evitar conclusiones automáticas.
Que en el registro aparezca el nombre de un profesional que el paciente no recuerda haber visto no significa necesariamente que haya existido un acceso ilegítimo.
La asistencia sanitaria implica equipos.
Puede haber interconsultas, sustituciones, guardias, tareas asistenciales o funciones administrativas que justifiquen determinadas consultas.
Por ello, el acceso debe analizarse dentro de su contexto.
La pregunta decisiva es si existía una razón profesional legítima vinculada a las funciones de quien consultó la información.
El centro sanitario debe aplicar el principio de acceso mínimo
La protección eficaz de las historias clínicas no puede descansar exclusivamente en la buena voluntad de los trabajadores.
Las organizaciones sanitarias deben configurar sus sistemas para que cada profesional disponga del acceso necesario para desempeñar su función, evitando permisos excesivamente amplios cuando sea posible.
Es una manifestación práctica de los principios de seguridad, minimización y protección de datos.
Cuanto mayor sea la sensibilidad de la información, mayor importancia tiene controlar quién puede consultarla.
Los controles de acceso no deberían limitarse a entregar una contraseña
Una política adecuada de seguridad puede incluir perfiles de usuario, registros de actividad, auditorías, alertas ante accesos anómalos y mecanismos para detectar consultas injustificadas.
Por ejemplo, puede resultar especialmente relevante revisar accesos repetidos a historias clínicas con las que el profesional no mantiene ninguna relación asistencial aparente.
La tecnología que facilita el tratamiento de los datos también puede utilizarse para protegerlos.
La curiosidad no es una finalidad asistencial
Los casos de accesos indebidos suelen plantear una cuestión humana muy sencilla: la curiosidad.
Un compañero está enfermo.
Un conocido ha sido ingresado.
Una persona famosa aparece en el hospital.
Un familiar recibe tratamiento.
El hecho de que alguien tenga curiosidad por conocer qué sucede no crea ninguna legitimación jurídica para abrir su historial.
El deber profesional exige precisamente resistirse a utilizar las herramientas de trabajo para finalidades personales.
Ni siquiera una relación familiar permite consultar libremente el historial
La misma lógica se aplica cuando el paciente es un familiar.
Ser cónyuge, hijo, hermano o amigo de alguien no convierte al profesional sanitario en persona autorizada para consultar su historia a través de las herramientas de trabajo.
El acceso a información sanitaria de terceros debe realizarse mediante los cauces legalmente previstos.
Las credenciales profesionales no son un atajo para obtener información privada.
Puede existir responsabilidad penal, disciplinaria y en materia de protección de datos
Un mismo acceso indebido puede proyectarse sobre distintos ámbitos jurídicos.
Puede tener consecuencias penales cuando concurran los elementos del delito.
También puede producir consecuencias laborales o disciplinarias por incumplir las obligaciones profesionales.
Y puede generar actuaciones en materia de protección de datos personales.
Son planos diferentes que no deben confundirse.
Que exista una consecuencia disciplinaria no excluye necesariamente la penal, ni viceversa.
Las penas de prisión demuestran que no estamos ante una simple infracción administrativa
La Audiencia Provincial de Badajoz ha impuesto a las dos enfermeras penas de 15 y 19 meses de prisión.
La diferencia entre ambas penas debe responder a las circunstancias jurídicas apreciadas respecto de cada condenada, que deben buscarse en la sentencia completa y no pueden deducirse únicamente de la información disponible.
Por ello, esas cifras tampoco constituyen una tarifa general aplicable a cualquier acceso indebido.
Cada supuesto debe calificarse individualmente.
Tres años de inhabilitación: una consecuencia profesional especialmente grave
Además de las penas privativas de libertad, las condenadas han recibido tres años de inhabilitación.
Para un profesional sanitario, una consecuencia de esta naturaleza puede tener un enorme impacto.
La sentencia demuestra así que el riesgo de consultar indebidamente una historia clínica no se limita a una eventual multa.
Puede afectar directamente al ejercicio profesional.
¿Una pena de 15 o 19 meses implica necesariamente ingresar en prisión?
No puede afirmarse automáticamente.
La imposición de una pena de prisión y su efectivo ingreso en un centro penitenciario son cuestiones diferentes.
El Código Penal permite, en determinados supuestos y cuando concurren los requisitos legalmente establecidos, la suspensión de la ejecución de penas privativas de libertad.
La decisión dependerá de las circunstancias concretas del condenado y del cumplimiento de las condiciones legales.
Por tanto, decir que han sido condenadas a prisión no permite afirmar, solo con estos datos, que necesariamente vayan a cumplirla de manera efectiva en un centro penitenciario.
¿Cómo puede saber un paciente quién ha consultado su historial?
Cuando existen sospechas fundadas de accesos indebidos, la trazabilidad de los sistemas puede resultar esencial.
El afectado puede ejercer los derechos que le reconoce la normativa de protección de datos y utilizar los cauces previstos para solicitar información o denunciar una posible utilización ilegítima de sus datos.
Dependiendo de las circunstancias, también puede ser necesario acudir al propio servicio sanitario, al delegado de protección de datos, a la autoridad competente o a los tribunales.
La vía adecuada dependerá de qué haya sucedido exactamente y de la información disponible.
No conviene acusar sin comprobar primero la justificación del acceso
El hecho de que una persona descubra una consulta inesperada de su historial puede generar preocupación.
Pero antes de concluir que existe un delito es necesario comprobar si había alguna razón asistencial o profesional que justificara la intervención de ese usuario.
Los sistemas sanitarios son complejos y la atención no siempre se limita al profesional que habla directamente con el paciente.
La existencia de un registro de acceso constituye una prueba importante, pero debe interpretarse dentro de todo el contexto.
El secreto médico también protege la confianza en el sistema sanitario
La confidencialidad no protege únicamente un conjunto de datos.
Protege una relación de confianza.
Un paciente debe poder explicar a los profesionales sus síntomas, antecedentes y circunstancias personales sin temor a que esa información termine circulando entre compañeros, vecinos o conocidos.
Si el ciudadano pensara que cualquier trabajador del centro puede consultar su historial por curiosidad, esa confianza quedaría seriamente dañada.
La protección de la historia clínica es, por tanto, también una condición necesaria para el correcto funcionamiento de la asistencia sanitaria.
La condición de compañera hace visible otro riesgo: la privacidad dentro del propio lugar de trabajo
Cuando el paciente es además trabajador del centro, la protección resulta especialmente delicada.
Un profesional sanitario no pierde su intimidad por trabajar en el hospital en el que recibe asistencia.
Sus compañeros no adquieren por esa razón un derecho a conocer sus diagnósticos.
Ser trabajador sanitario y ser paciente son condiciones perfectamente compatibles, y la segunda exige la misma confidencialidad que respecto de cualquier otra persona.
Reflexión jurídica
La sentencia de la Audiencia Provincial de Badajoz contiene una advertencia que debería estar presente en cualquier organización que maneje información sensible.
La seguridad de los datos no consiste únicamente en impedir que entren hackers desde el exterior.
A veces el riesgo está dentro de la propia organización.
Un trabajador puede disponer legítimamente de usuario y contraseña y, sin embargo, utilizarlos para una finalidad para la que nunca fue autorizado.
El caso de estas dos enfermeras muestra con especial claridad la diferencia entre capacidad técnica y autorización jurídica.
Podían disponer de acceso al sistema por razón de su profesión.
Eso no les daba derecho a consultar el historial clínico de una compañera sin una justificación profesional.
Y cuando se trata de datos de salud, esa frontera adquiere una importancia máxima.
Conclusión
La Audiencia Provincial de Badajoz ha condenado a dos enfermeras por acceder sin autorización al historial clínico de una compañera, imponiéndoles 15 y 19 meses de prisión y tres años de inhabilitación.
La resolución recuerda que el acceso a una historia clínica debe estar justificado por razones asistenciales o profesionales.
Trabajar en un hospital no concede permiso para consultar cualquier expediente médico disponible en el sistema.
Tampoco es necesario que los datos terminen publicados en redes sociales para que una conducta pueda adquirir gravedad penal. El propio acceso consciente e injustificado a información reservada puede resultar jurídicamente relevante cuando concurren los requisitos establecidos por el Código Penal.
La enseñanza para los profesionales sanitarios es clara: las credenciales informáticas son una herramienta de trabajo, no una autorización para satisfacer curiosidades personales.
Y para los pacientes existe otra igualmente importante: la información contenida en una historia clínica continúa siendo privada aunque se encuentre almacenada en un sistema al que técnicamente puedan acceder numerosos profesionales.
La medicina necesita información para cuidar al paciente. Precisamente por eso, el Derecho exige que quienes tienen acceso a ella la utilicen únicamente cuando existe una razón legítima para hacerlo.
Luis Ferrer Abogado
Asesoramiento y defensa jurídica en delitos de descubrimiento y revelación de secretos, acceso indebido a historiales clínicos, protección de datos sanitarios, derecho a la intimidad y responsabilidad penal.