Juicio en Granada por filtrar datos clínicos del ex-consejero de Sanidad a Spiriman
El pasado 7 de Marzo, Pedro De La Torre Rodríguez, perito titular del despacho Indalics Peritos Informáticos, realizó la ratificación de su dictamen en tribunales de Granada al objeto de refutar los elementos de acusación por un supuesto delito de revelación de secretos contra un auxiliar administrativo del Servicio Andaluz de Salud por filtrar datos al médico conocido como Spiriman.
Supuesta filtración de datos clínicos a Spiriman
La Sección Primera de la Audiencia Provincial de Granada acogió este jueves juicio contra un auxiliar administrativo del hospital del PTS de Granada para el que la Fiscalía pide dos años de prisión por acceder supuestamente a la historia clínica de atención especializada correspondiente al entonces viceconsejero de Salud de la Junta de Andalucía, Martín Blanco.
Según el escrito de acusación provisional de la Fiscalía el acusado supuestamente utilizó una terminal para acceder a dicho historial del exviceconsejero de Salud, Martín Blanco, y así, a la identificación de los episodios de atención sanitaria prestados en los centros del sistema sanitario público de Andalucía, con la descripción de los informes clínicos, episodios de atención en consultas, urgencias y hospitalización.
Según la Fiscalía ello no estaba dentro de sus competencias o funciones ni estaba autorizado para ello, y podría suponer la presunta comisión de un delito de revelación de secretos. Junto con la petición de pena de cárcel, el fiscal pide para el acusado el pago de una multa de 4.500 euros.
Según la Fiscalía, el procesado visualizó supuestamente una cita del 14 de noviembre de 2014, el motivo del alta, el diagnóstico, y el procedimiento médico seguido, así como las prescripciones farmacéuticas y un informe externo de laboratorio, filtrando todo ello al Dr. Jesús Candel, más conocido como Spiriman, el cual se habría referido a dicho episodio en un vídeo publicado en redes sociales.
No hubo acusación particular ejercida por el exviceconsejero Martín Blanco, el cual asistió a la vista.
La acusación se basó únicamente en un informe de una página
Pedro De La Torre Rodríguez, en calidad de perito informático designado por la defensa, acudió a prestar declaración respecto de su informe contrapericial informático, en el cual demostró la total ausencia de pruebas respecto de los hechos imputados a su mandante.
La acusación se basó únicamente en informe emitido por la jefa de servicio de informática, titulada en psicología, en el que indicaba verbalmente lo siguiente:
- Que se realizó la búsqueda de la historia clínica del viceconsejero, Martín Blanco, y se produjo acceso a la descripción de los informes clínicos, de los episodios de atención de consultas, urgencias y hospitalización, pero sin acceso a la información detallada de ninguno de ellos.
- Que se visualizó una de las citas existentes.
- Que entró a visualizar las prescripciones dentro del software de gestión.
- Que visualizó un informe externo de laboratorio.
- Que se accedió a la información en un intervalo de minuto y medio.
- Que los accesos se produjeron desde una determinada IP de la intranet del complejo hospitalario.
En el informe pericial se indicó que dicho informe presentaba importantes carencias:
- No se aporta el fichero electrónico correspondiente al log del sistema que indica las acciones realizadas por el usuario, ni ningún otro elemento de prueba electrónica que permita contrastar lo aseverado por la Jefa de Servicio.
- No se hace referencia a que se haya aprehendido el terminal de trabajo sospechoso de la conducta indicada al objeto de contrastar el log del sistema informático mediante un análisis exhaustivo.
- Que se da por hecho que era el imputado quien operaba la estación de trabajo.
- Que no se indica qué medidas de seguridad del sistema informático vulneró supuestamente el acusado para acceder a información a la que su usuario no tenía acceso.
- Que no se ha determinado a qué puesto de trabajo pertenecía la IP indicada en el momento del supuesto acceso.
- Que se hace referencia a una auditoría practicada, pero no se aporta la información del citado proceso de auditoría.
- Que no hay indicio de que se haya filtrado ningún dato a Spiriman.
El perito informático colegiado también indicó que, tal y como se refleja en la sentencia 245/07 del Juzgado de lo Penal 17 de Barcelona, de 29 de Junio de 2007, una dirección IP se puede suplantar y ésta no basta por sí misma para determinar la identidad de la persona física que pudiera haber llevado a cabo una conducta ilícita.
Delito de revelación de secretos
Para que se produzca un delito de revelación de secretos mediante un sistema informático, son determinantes los siguientes aspectos:
- Acceder a la información ubicada en soporte informático sin estar autorizado para ello.
- Causar perjuicio al titular de los datos o a un tercero.
- La información accedida no puede estar al alcance de cualquiera. Dicha información sólo estará disponible para ser accedida por usuarios concretos y con una finalidad determinada.
- El responsable del tratamiento de los datos es el responsable de implementar medidas organizativas y técnicas que limiten el acceso a la información.
En este caso no constan qué medidas organizativas y técnicas ha vulnerado supuestamente el acusado al acceder al historial clínico para filtrarlas a Spiriman, o si bien dichas medidas no existen y el acceso a dicha información no se encuentra limitado para los usuarios del sistema informático.
Incidencias de seguridad conocidas del sistema informático DIRAYA
Así mismo, el perito informático procedió a recordar que es de dominio público que hubo un fallo de seguridad detectado en el Hospital Universitario San Cecilio de Granada hubo un fallo de seguridad detectado en el Hospital Universitario San Cecilio de Granada por el que la información gestionada estuvo comprometida desde octubre de 2011 hasta diciembre de 2014, según la Agencia Española de Protección de Datos. Dicho fallo informático impedía controlar si los expedientes clínicos de los enfermos eran consultados por personas que carecían de permiso para ello. Quedó acreditado que el Servicio Andaluz de Salud carecía de las medidas de seguridad adecuadas para auditar y verificar los accesos que se producían a la historia clínica de cualquier paciente, no sólo en las del Hospital Universitario San Cecilio.
Petición de libre absolución por falta de pruebas
La defensa, que ha pedido la libre absolución, ha manifestado que no existe carga probatoria suficiente contra su cliente, a la vista de lo indicado por el perito informático y de la total ausencia de evidencia digital de ninguna clase aportada a la causa.
El juicio ha quedado visto para sentencia.