La aseguradora pone a disposición de sus asegurados un cuadro médico, clínica u hospital.

La entidad que recogería los datos del asegurado serían el centro sanitario o un médico en el caso de consultas privadas que resultan obligados en cuanto al tratamiento de los datos de los pacientes que acudan a sus consultas a lo dispuesto en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y son responsables de la gestión y de la custodia de la documentación asistencial que generen, excediendo dicho tratamiento de “las instrucciones documentadas del responsable”, lo que determina la imposible aplicación del artículo 28 del RGPD y la imposibilidad de considerarlos como encargados del tratamiento de la entidad aseguradora o Mutua.

A efectos de abonar a los centros sanitarios de los gastos de asistencia sanitaria que se hubieran llevado a cabo en el ámbito de un contrato de seguro de asistencia sanitaria, van a comunicar de datos de salud de los pacientes a las compañías aseguradoras o Mutuas para justificar la facturación de los servicios. El centro sanitario podrá comunicar los datos estrictamente necesarios para la facturación del servicio dado a paciente, a las compañías aseguradoras o Mutuas sin necesidad de contar con el consentimiento explícito de los interesados sobre la base legal de la Ley 50/1980 del Contrato de Seguro y, de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras, según proceda, sin que pueda considerarse que alcance a todo el contenido de la historia clínica del paciente asegurado.

La empresa contratada por la Universidad para prestar un servicio de asistencia psicológica por profesionales de la psicología va a realizar un tratamiento de datos relativos a la salud mental de los trabajadores o estudiantes de la Universidad que acuden a la consulta y estos han de ser considerados datos relacionados con la salud de los interesados. Se trata de un servicio prestado al margen de la actividad de prevención de riesgos laborales de la entidad.

Si el servicio de prevención de riesgos laborales está interesado en conocer qué empleados reciben la asistencia psicológica, estaríamos ante una comunicación de datos, en este caso de salud de los trabajadores desde el responsable (la clínica que presta servicios de asistencia psicológica), a la unidad competente en Riesgos Laborales que debería tener su causa de licitud en los artículos 6.1 y 9.2 del RGPD (es decir, si se cumplen una de las condiciones previstas en el artículo 9, apartado 2, así como una condición del artículo 6).

Conforme al RGPD y a la LOPDPGDD, el consentimiento para el tratamiento de datos personales se ha de prestar por los propios interesados o por sus representantes legales. Para lo menores de edad, pero mayores de 14 años se requerirá igualmente el consentimiento de padres o tutores cuando la Ley exija la asistencia de los padres y tutores, así como para los mayores de edad que estén sometidos a tutela.

El centro sanitario podrá comunicar los datos estrictamente necesarios para la facturación del servicio dado al paciente, a las compañías aseguradoras sin necesidad de contar con el consentimiento explícito de los interesados.

Constituiría un tratamiento necesario para la gestión del servicio de asistencia sanitaria practicado, sobre la base legal de la Ley 50/1980 del Contrato de Seguro y, de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras, según proceda.

El tratamiento de datos de las historias clínicas regulado en la Ley 41/2002, en su artículo 14.1 consagra el principio de máxima integración de la misma “en ámbito de cada centro”, al disponer que “La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro.

Los apartados 4 y 5 del artículo 17 vienen a reflejar la delimitación del responsable del fichero de historias clínicas, correspondiendo esta condición al centro sanitario en el que se produzca la asistencia sanitaria o al médico que ejerza la profesión de manera individual.

Cada uno de los centros sanitarios, en relación con los pacientes que acuden al mismo, tendrá la condición de responsable del tratamiento de los datos que sean incorporados a sus historias clínicas, al objeto de obtener la máxima integración posible de la documentación clínica de cada paciente.