Article 22: Control d’accessos a la història clínica

1. El responsable de la gestió de la història clínica ha d’establir els mecanismes per identificar de forma inequívoca i personalitzada qualsevol persona que intenti accedir a la informació continguda en la història clínica d’un pacient o usuari del sistema sanitari, i verificar si disposa dels permisos d’accés corresponents. Concretament, per a qualsevol accés cal registrar: la persona que accedeix a la informació, la data i l’hora, la finalitat, la part de la història clínica a la qual ha tingut accés i el tipus d’accés. Si l’accés és denegat perquè no compleix els criteris d’accés, la mateixa denegació també ha de quedar registrada. També s’han d’anotar les restriccions practicades a l’accés amb motiu de la protecció de la identitat del pacient, els drets de terceres persones a la confidencialitat de les dades que consten en la història clínica amb interès terapèutic del pacient o els drets dels professionals que participen en l’elaboració de la història clínica.

2. No és necessari registrar l’accés i l’ús previstos en aquest article en el cas que el responsable de la gestió de la història clínica sigui una persona física que garanteixi que només ella té accés a les dades personals i les tracta, i així ho hagi fet constar expressament en el manual d’ús de la història clínica. Aquests casos queden exempts de fer els informes de traçabilitat recollits als apartats 5 i 6 d’aquest article.

3. Quan el responsable de la gestió de la història clínica compartida rep la petició d’un usuari del sistema sanitari d’obtenir una còpia de la traçabilitat dels accessos a la seva història clínica compartida, disposa d’un termini de quinze dies hàbils a comptar de la data de la petició per lliurar una còpia a l’usuari del sistema sanitari de l’informe de traçabilitat i informar-lo que trasllada aquesta informació a la CNHCC perquè la valori. El responsable de la gestió de l’HCC ha de traslladar, en un màxim de 60 dies hàbils, a la CNHCC tota la documentació i informació que siguin necessàries, i, en tot cas, tota la que la CNHCC li demani, a fi de valorar els accessos. Un cop valorats els accessos, si la CNHCC detecta algun possible accés injustificat o indegut, n’ha d’informar de forma immediata tant l’usuari del sistema sanitari com el ministeri encarregat de la salut a fi que aquest últim incoï, si escau, el corresponent expedient sancionador. Si la CNHCC no detecta cap possible accés injustificat o indegut també n’ha d’informar de forma immediata l’usuari del sistema sanitari.

4. Quan, d’ofici, el responsable de la gestió de la història clínica compartida detecta que hi ha pogut haver un accés injustificat o indegut a la història clínica compartida, trasllada, en un màxim de 60 dies hàbils, a la CNHCC la informació sobre la traçabilitat, així com tota la documentació i la informació que siguin necessàries, i, en tot cas, tota la que la CNHCC li demani, a fi de valorar els accessos. En cas que la CNHCC també consideri que hi ha pogut haver un accés injustificat o indegut, n’ha d’informar de forma immediata tant l’usuari del sistema sanitari com el ministeri encarregat de la salut, a fi que aquest últim incoï, si escau, el corresponent expedient sancionador.

5. Quan el responsable de la gestió de la història clínica, més enllà de la compartida, detecta que hi ha pogut haver un accés injustificat o indegut a la història clínica d’un usuari del sistema sanitari, ja sigui arran de la petició d’aquest últim d’obtenir una còpia de la traçabilitat dels accessos a la seva història clínica o bé d’ofici, n’ha d’informar de forma immediata tant l’usuari del sistema sanitari –a qui també traslladarà una còpia de la traçabilitat dels accessos a la seva història clínica–, com el ministeri encarregat de la salut, a fi que el Ministeri incoï, si escau, el corresponent expedient sancionador.

6. Quan el responsable de la gestió de la història clínica, més enllà de la compartida, rep la petició d’un usuari del sistema sanitari d’obtenir una còpia de la traçabilitat dels accessos a la seva història clínica, si no detecta cap possible accés injustificat o indegut, trasllada a l’usuari del sistema sanitari l’informe de traçabilitat en el termini de quinze dies hàbils a comptar de la data de la seva petició.