Un trabajador hospitalario compartió una captura de pantalla del historial médico de un paciente con su pareja tras acceder sin permiso a hasta 200 historiales clínicos individuales en un centro del NHS de Somerset, según revelan nuevos documentos.
Las víctimas declararon a la BBC que están indignadas porque el trabajador, que dimitió antes de que se tomara ninguna medida disciplinaria, solo recibió una advertencia policial.
La correspondencia obtenida por la BBC en virtud de la Ley de Libertad de Información sugiere que se pudo haber compartido información de pacientes y que se contactó con un paciente utilizando un número de teléfono obtenido de los registros del hospital.
El Somerset NHS Foundation Trust declaró anteriormente que se accedió de forma inapropiada a los registros de hasta 200 personas entre agosto de 2017 y octubre de 2023.
Investigación y resultados
La infracción cometida por el trabajador del hospital Musgrove Park fue denunciada ante la Oficina del Comisionado de Información (ICO) en octubre de 2023 e investigada por la policía de Avon y Somerset.
La ICO declaró que respaldaba «la alegación de obtención ilícita de datos personales» y concluyó que se habían tomado las medidas adecuadas.
Tras confirmar que no se emprenderían más acciones regulatorias, el caso se dio por cerrado.
Un portavoz de la policía de Avon y Somerset declaró que una mujer confesó plenamente durante un interrogatorio y recibió una advertencia condicional después de que los agentes concluyeran que sus acciones no fueron maliciosas ni obtuvieron ningún beneficio económico.
La filtración se extendió durante varios años, y los datos de auditoría muestran que se accedió a los registros entre agosto de 2017 y octubre de 2023.
Entre los afectados se encontraban pacientes, así como personas conocidas por el miembro del personal, incluidos compañeros, amigos, familiares y sus parejas.
‘Ella violó a las familias’
La BBC ha hablado con un compañero, uno de los varios empleados cuyos registros fueron consultados, quien cree que debería haberse iniciado un proceso judicial.
Según informaron, la trabajadora descubrió que una mujer estaba embarazada al acceder a sus registros y consultó archivos relacionados con niños cuyos padres habían fallecido para averiguar la causa de su muerte.
Otro paciente, que prefiere permanecer en el anonimato, declaró a la BBC: «No solo vulneró la seguridad de los datos, sino que también violó a familias, personas vulnerables e incluso los historiales médicos de quienes ya no viven para defenderse».
«Revisó mi historial médico, parte del cual era altamente sensible, incluyendo el de mi hijo, y luego le envió capturas de pantalla a su pareja. ¿Dónde está la justicia?»
¿A qué información se accedió?
Los documentos muestran que el miembro del personal tenía acceso a un único sistema hospitalario como parte de sus funciones.
Esto les permitió consultar información demográfica como nombres, fechas de nacimiento, direcciones y datos del médico de cabecera, así como visitas a urgencias, detalles de ingreso, salas de hospitalización, especialistas y citas ambulatorias.
La entidad gestora afirmó que el sistema no incluía informes clínicos, resúmenes de alta ni registros separados para los servicios de salud mental, comunitaria o sexual.
Sin embargo, la correspondencia de la ICO sugiere que el uso indebido fue más allá de la simple visualización de datos, ya que existen pruebas de que la información se compartió externamente.
Filtraciones generalizadas de datos del NHS
Según una solicitud de acceso a la información pública realizada por el Health Service Journal, en los últimos años se han registrado más de 1.400 violaciones graves de datos de pacientes en el Servicio Nacional de Salud (NHS) del Reino Unido.
Entre los casos se incluyen los intentos de obtener y vender el historial médico de Catalina, princesa de Gales , el despido de 11 empleados por acceder a registros relacionados con las víctimas de los atentados de Nottingham y el despido de trabajadores tras consultar registros relacionados con el accidente ferroviario de Bedford .
Además, se informó de una investigación «urgente» sobre el acceso a los datos de los pacientes después de que 40 empleados abrieran archivos sobre un niño atacado por un cocodrilo.
Imágenes de GettyLa BBC también puede revelar que la forma en que los hospitales informan sobre las infracciones no refleja necesariamente cuántos pacientes se vieron afectados.
Por ejemplo, el informe anual de Somerset NHS Foundation Trust registró el incidente como una de las tres violaciones de seguridad de datos ocurridas en 2023, a pesar de que hasta 200 personas se vieron afectadas.
Los informes anuales muestran que otros organismos del NHS en el oeste del país también han registrado incidentes de seguridad de datos.
El Gloucestershire Hospitals NHS Foundation Trust informó de 187 infracciones de gobernanza de la información en 2024-25, el Great Western Hospitals NHS Foundation Trust de 48 y el North Bristol NHS Trust de tres incidentes notificados a la Oficina del Comisionado de Información (ICO). El University Hospitals Bristol and Weston NHS Foundation Trust también informó de un ciberataque que involucró a un proveedor externo que gestionaba muestras de pacientes.
El organismo gestor declaró que no podía confirmar si alguno de sus pacientes se había visto afectado, pero informó del incidente a la ICO mientras continuaban las investigaciones.
La BBC también ha hablado con un hombre de Bristol que cuestionó si un trabajador sanitario accedió indebidamente al historial médico de su esposa tras presentarse inesperadamente junto a su cama en el Hospital Southmead.
El hombre, que pidió permanecer en el anonimato, dijo que su esposa había sido trasladada allí con poca antelación para someterse a una cirugía por un cáncer incurable y que él no le había dicho al trabajador de la salud dónde estaba siendo tratada.
Dijo que su esposa tenía previsto someterse a una operación en el Bristol Royal Infirmary, pero que el procedimiento se trasladó a Southmead con poca antelación y que no había compartido detalles sobre la nueva ubicación, la sala o el número de cama.
Según declaró a la BBC: «Esto es imposible a menos que se inmiscuyan en el sistema».
El hombre afirmó haber presentado una queja ante el personal de la planta, el Servicio de Asesoramiento y Enlace con el Paciente y el equipo de protección de datos del hospital.
Dijo que inicialmente le informaron que los investigadores no habían encontrado pruebas de una filtración de datos, pero cuestionó si se había examinado el período de tiempo correcto.
Dijo que la visita inesperada dejó a su esposa angustiada y vulnerable, y agregó: «Ella expresó su preocupación de que, por ser mujer, su ropa podría no estar en el lugar correcto y no esperaba ninguna visita en ese momento. Estaba un poco asustada».
«Ella es musulmana practicante y estaba preocupada por su religión y todo ese tipo de cosas.»
Añadió que después de que el trabajador sanitario volviera para una segunda visita, «mi esposa dijo: ‘Por favor, no venga aquí sin avisar a mi marido'».
El Bristol NHS Foundation Trust, que gestiona el hospital Southmead, declaró que no podía hacer comentarios mientras su investigación estuviera en curso.
Glyn Howells, responsable sénior de riesgos de la información (SIRO, por sus siglas en inglés) y director general, declaró: «El hospital se toma muy en serio la confidencialidad de la información de los pacientes».
«Nos comprometemos a garantizar que solo se acceda a los historiales clínicos de los pacientes cuando exista una necesidad legítima.»
«Actualmente estamos investigando esta queja, y sería inapropiado hacer más comentarios hasta que nuestra investigación haya concluido.»
Llamadas para alertas sobre historiales médicos del NHS
Sam Smith, del grupo de defensa de la privacidad Med Confidential, afirmó que el caso de Taunton puso de manifiesto preocupaciones más amplias sobre el acceso a los historiales médicos del NHS (Servicio Nacional de Salud del Reino Unido).
Dijo que el personal a menudo puede ver los registros de diferentes partes del servicio de salud y que: «la protección consiste en que no se deba hacer, no en que no se pueda».
Añadió que hay «muy poco que te lo impida» si alguien está decidido a consultar registros a los que no tiene ninguna razón legítima para acceder.
Smith afirmó que los registros de auditoría ya documentan quién ha consultado el expediente de un paciente, pero argumentó que rara vez se informa a los pacientes cuando se ha accedido a sus registros.
Sugirió que las personas deberían recibir notificaciones automáticas a través de la aplicación del NHS cuando se consulten sus historiales médicos.
Según afirmó, una mayor transparencia ayudaría a disuadir el mal uso.
«La única manera de prevenir los abusos es acabar con el secretismo que los facilita.»
Sam SmithRespuesta de confianza
El Somerset NHS Foundation Trust ya se disculpó con los afectados, afirmando que la confidencialidad del paciente «no se había respetado» en este caso.
Phil Brice, director de servicios corporativos del organismo gestor, declaró: «Pedimos disculpas sin reservas a todas las personas cuyos historiales clínicos hayan sido consultados de forma inapropiada de esta manera».
«Muchos profesionales del NHS necesitan acceso a información confidencial para poder desempeñar su trabajo con eficacia… Lamentablemente, esto no se respetó en este caso.»