Ha de establecerse con carácter previo lo que debe entenderse comprendido dentro de la denominación de dato sanitario, ya que, del concepto más o menos amplio que se de al mismo, lógicamente quedará afectado su campo de aplicación. Pues bien, cuando me refiero al dato sanitario no sólo estoy aludiendo al dato clínico sino también a cualquier otro dato aunque su finalidad no sea el proporcionar directamente la salud al titular del mismo. Es decir, quedarán comprendidos los datos de salud propiamente dichos, junto a aquéllos que, sin referirse directamente a la misma, cooperan de forma más o menos mediata a su consecución. En esta definición amplia del dato de salud supone que deban quedar incluidas las informaciones de naturaleza administrativa o social que, siendo conexas, pudieran guardar relación con el dato de salud en sentido estricto. De este modo, se incluirá al dato administrativo de salud, necesario para un correcto funcionamiento de los servicios sanitarios, al dato que sea imprescindible para efectuar estudios de naturaleza epidemiológica e igualmente al dato estadístico en la medida que su tratamiento no exija el previo anonimato.

Por otro lado, el tratamiento abarcará tanto la utilización del dato de salud en beneficio de su titular como el tratamiento del mismo en beneficio de tercero. En este aspecto, la Directiva, cuando se refiere a los principios relativos a la legitimación del tratamiento de datos, incluye tanto la protección del interés vital del interesado como el hecho de que sea necesario para el cumplimiento de una misión de interés público (apartados d) y e) del art. 7 de la misma).

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante L. O.) no contribuye precisamente a la delimitación de lo que deba ser el dato de salud ya que, por un lado, después de referirse al mismo (apartado 3 del artículo 7), alude a la necesidad del tratamiento cuando resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios (apartado 6 del citado precepto) y a que el tratamiento sea necesario para salvaguardar el interés vital del afectado o de un tercero, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento (párrafo segundo del mismo apartado). La cuestión se complica, además, cuando examinamos el contenido del artículo 8 de la L. O., en el que, bajo la denominación de "datos relativos a la salud", parece dar a entender que solamente tienen dicha condición los tratados por instituciones y centros sanitarios públicos y privados y los profesionales correspondientes, respecto de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o que hayan de ser tratados en los mismos, de acuerdo con la legislación estatal o autonómica sobre sanidad. Contradicción que debe entenderse más aparente que real y que, desde luego, desaparece si consideramos el contenido del artículo 7 como dato propiamente de salud y al del artículo 8 como dato sanitario, esto es, dato de salud tratado en establecimiento o institución sanitaria.

Los derechos reconocidos al titular de los datos sanitarios en la L. O. son fundamentalmente los de acceso, rectificación y cancelación a los que también aludía la legislación anterior (L. O. 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal). Ahora bien, la L. O. vigente ha introducido un nuevo derecho, el de oposición, que venía siendo regulado en la Directiva 95/46/CE, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. La razón de dicha inclusión hay que buscarla en los considerandos que preceden al texto de la propia Directiva y que evidencian (considerando 45) que su finalidad va dirigida a servir de contrapeso a las facultades que se reconocen tanto a la autoridad pública como a los particulares respecto de la posibilidad de que éstos efectúen lícitamente un tratamiento de datos. En estos supuestos, al interesado se le reconoce un derecho a oponerse a que los datos que le conciernen sean objeto de tratamiento. No obstante, su ejercicio estará condicionado por la necesidad de que la oposición se concrete exclusivamente en la exposición de motivos fundados y legítimos relativos a su situación concreta. Es decir, ni se admite una oposición genérica ni se admite una oposición a favor de terceros. Dicho de otro modo: solamente el titular de los datos se hallará legitimado para poder oponerse a un tratamiento que le afecte, oposición que deberá siempre reunir los requisitos anteriormente expuestos.

Pues bien, esta idea del legislador comunitario tiene su concreción en el artículo 14 de la Directiva 95/46/CE, regulador del derecho de oposición. Establece el precepto que los Estados miembros reconocerán al interesado el derecho a:

• Oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, (cuando el tratamiento sea necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero al que se comuniquen los datos, o sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo a la presente Directiva).

• Oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento destinado a la prospección; o ser informado antes de que los datos se comuniquen por primera vez a terceros o se usen en nombre de éstos a efectos de prospección, y a que se le ofrezca expresamente el derecho a oponerse, sin gastos, a dicha comunicación o utilización.

La existencia y contenido de este derecho de oposición es para el legislador comunitario tan fundamental que incluso dispone (conforme al apartado último del precepto) que "los estados miembros adoptarán todas las medidas necesarias para garantizar que los interesados conozcan la existencia de este derecho" (cuando se refiera a la materia de prospecciones o de comunicación o uso de datos).

Dicho derecho, tal como se concibe en el texto comunitario, era desconocido en las regulaciones precedentes. Así, el Convenio 108 del Consejo de Europa, Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, no contemplaba en absoluto la regulación de dicho derecho de oposición, que sí incluía al resto de los derechos, si bien en algunos casos podría no coincidir su denominación.

Tampoco la L. O. 5/1992, de 29 de octubre, contenía disposición específica en esta materia, limitándose a la regulación de los derechos que podríamos denominar tradicionales.

La Ley Orgánica de Protección de Datos Personales, por el contrario, aun cuando reconoce formalmente su existencia, guarda un riguroso silencio sobre la regulación del derecho de oposición, tanto respecto de su contenido como de las formas o maneras en que puede realizarse su ejercicio. Silencio que nunca deberá ser interpretado como una decisión de no regulación del mismo, ya que, de afirmarse la existencia de una postura en tal sentido, la misma sería contraria a un cumplimiento riguroso de las normas de transposición y desde luego no conforme con el enunciado y contenido del artículo 17 de la L. O., en cuanto se refiere a dicho derecho, juntamente con otros, aplazando su regulación de procedimiento a un posterior desarrollo reglamentario.

En conclusión, la regulación del derecho de oposición dentro de nuestro derecho positivo, no diré que es inexistente, aunque en este momento se halla carente de contenido, pero sí que es inaplicable por la falta de un procedimiento reglamentario que acometa dicha finalidad; desarrollo que nunca podrá contener regulación sustantiva por no encontrarse tal concepto dentro de la autorización contenida en el artículo 17 de la L. O.

El juego del derecho de oposición dentro del dato sanitario debería ser importante en cuanto, como ya se ha dicho, el dato de salud, por su especial naturaleza, puede ser objeto de tratamiento como consecuencia de la aplicación de la legislación nacional. En este aspecto no hay que olvidar que el apartado 2.c) y el apartado 3 del artículo 8 de la Directiva contemplan supuestos de utilización del dato sanitario al margen de la aplicación del principio del consentimiento establecido con carácter general en el apartado 2.a) del citado precepto. Ello necesariamente supone que, ante la utilización de un dato de carácter personal de especial protección, surja inevitablemente en el titular del dato el derecho a ejercer una oposición al tratamiento del mismo. Ello, incluso, porque aún cuando el derecho de oposición contenga la referencia expresa al artículo 7, letras e) y f), no ha de olvidarse la similitud del contenido de ese precepto en relación con lo que dispone el artículo 8. Además, debe tenerse en cuenta que el propio artículo 14 de la Directiva admite la posibilidad de contemplar otros supuestos de los expresamente aludidos en el artículo 14 ("...al menos en los casos contemplados..."). De todas formas, en la práctica, apenas se darán en esta materia del dato sanitario supuestos de ejercicio del derecho de oposición dada la finalidad de curación que en último término busca su tratamiento. Incluso, de producirse dicha oposición, podría evidentemente ser rechazada en aplicación de unos criterios de primacía de determinados derechos (vida) frente a los que aquí se están tratando (intimidad).

En cuanto al derecho de acceso, debo señalar que la Directiva lo configura (considerando 40 de su Exposición de Motivos) como un derecho que debe ser reconocido a cualquier persona para que, con relación a los datos que le conciernan y que sean objeto de tratamiento, pueda cerciorarse, en particular, de su exactitud y de la licitud del mismo; reconociéndose, además, que, si bien el mismo no puede menoscabar el secreto de los negocios ni la propiedad intelectual y en particular el derecho de autor que proteja el programa informático, esto no puede suponer que se deniegue cualquier información al interesado.

Dicho derecho no se configura como absoluto, ya que, conforme a los considerandos 42 y 43 de la Directiva, " los Estados miembros podrán limitar los derechos de acceso..." o "podrán imponer restricciones a los derechos de acceso...". Resulta curioso que la propia Directiva, a título de ejemplo, cite como un supuesto de limitación de ese derecho al hecho de precisar "... que el acceso a los datos de carácter médico únicamente pueda obtenerse a través de un profesional de la medicina"; los supuestos de restricción son de carácter más variado aludiendo a los sectores relativos a la seguridad pública, los intereses económicos o financieros y la represión penal.

El derecho de acceso aparece regulado en concreto en el artículo 12 de la Directiva al establecer que los estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:

• La confirmación de la existencia o inexistencia del tratamiento de datos que le conciernen, así como la información por lo menos de los fines de los tratamientos, las categorías de los datos a que se refieran y los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos.

• La comunicación, en forma inteligible, de los datos objeto de los tratamientos, así como toda información disponible sobre el origen de los datos.

• El conocimiento de la lógica utilizada en los tratamientos automatizados de los datos referidos al interesado.

En cuanto a la forma de llevar a cabo el mismo, la Directiva dispone que deberá efectuarse "libremente, sin restricciones y con una periodicidad razonable y sin gastos excesivos". Por último, debe señalarse que el derecho de acceso también se reconoce en los casos de las decisiones automatizadas, en los supuestos del artículo 15 apartado 1, en cuanto a la lógica de las evaluaciones efectuadas.

En sentido contrario a lo que la L. O. regula para el derecho de oposición, la misma sí contiene una auténtica regulación del denominado derecho de acceso. El artículo 15 establece no sólo el contenido de ese derecho, conforme a lo dispuesto en el apartado número 1 del mismo, sino la determinación de la forma en que puede llevarse a efecto, conforme a su apartado segundo, e incluso el período de tiempo en que puede repetirse, conforme a su apartado tercero. En cuanto al derecho, debe decirse que se concreta en la solicitud y en la obtención de la información, de forma gratuita, de sus datos de carácter personal sometidos a tratamiento, tanto de su origen como de las comunicaciones realizadas o que se prevean realizar. En cuanto a la forma, se admiten una diversidad de medios, que el precepto enumera, pero que tienen todos el denominador común de la exigencia de que la información se suministre en forma legible e inteligible, sin utilizar códigos o claves que requieran el uso de dispositivos mecánicos excesivos. En cuanto al intervalo de su ejercicio, se dispone que lo sea en períodos no inferiores a doce meses o en tiempo inferior siempre que se acredite un interés legítimo al efecto.

Es claro que esta teoría general del contenido y ejercicio del derecho de acceso tiene en la L. O. sus excepciones (conforme al artículo 23 de la misma), pero también lo es que, dentro de las contempladas en dicho precepto, no puede incluirse al dato de salud tratado en dependencias sanitarias. Por tanto, así como puede hablarse de que ese dato puede tener un tratamiento excepcional respecto de lo establecido con carácter general en la recogida (derecho de información al afectado, que se excluye cuando la misma impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones Públicas) también podría afirmarse que el contenido del derecho de acceso puede ser exceptuado en los supuestos del artículo 24. 2 de la L. O., es decir, que cuando efectuada la ponderación de los intereses en presencia, resulte que el derecho del afectado haya de ceder ante razones de interés público o ante intereses de terceros más dignos de protección, pero esta excepción no parece que pueda ser de aplicación al dato sanitario de una manera general.

Volviendo al tema de las limitaciones y restricciones del derecho de acceso en relación con el dato sanitario, en línea con lo establecido por la Directiva a la que hacía alusión con anterioridad, podría hablarse de limitación del derecho de acceso desde la óptica de quien viene obligado a facilitarlo, en el sentido de que el mismo pueda o deba ser ejercido no por cualquier persona sino solamente por aquélla que reúna unas determinadas condiciones. Me refiero al posible establecimiento de la exigencia de que sea un profesional de la medicina el que físicamente resuelva, o, al menos supervise, las autorizaciones o negativas que pudieran acordarse en esta materia. La justificación de dicha medida parecería en principio sencilla y giraría sobre la especial naturaleza del dato sanitario que parece imponer unas determinadas exigencias con la finalidad de evitar que el ejercicio de un derecho (el de acceso) no termine ocasionando una vulneración de la intimidad. Respecto de las restricciones, debe señalarse que las que se establecen en el artículo 24.2 de la L. O. no parece que en principio puedan ser de aplicación a los titulares de datos de salud que obren en ficheros sanitarios, por ser muy difícil que exista una ponderación de intereses de la que resulte que el derecho del afectado debiera ceder ante razones de interés público o de terceros más dignos de protección.

En cuanto a los derechos de rectificación y de cancelación, debe observarse que, a diferencia de la Directiva en donde se regulan como prioritarios los derechos de oposición y el derecho de acceso, configurándose aquéllos como una consecuencia lógica del ejercicio de éste, en la L.O., por el contrario, dichos derechos se hallan regulados en pie de igualdad con los restantes (oposición y acceso). Así, el artículo 16 de la misma regula los supuestos en que en todo caso deban ser rectificados o cancelados los datos, bien por la existencia de un tratamiento que no se ajusta a lo preceptuado en la presente Ley, bien porque los datos resulten inexactos o incompletos. No se dice nada en la misma respecto de cuando será de aplicación una medida o la otra, si bien entiendo que la expresión contenida en el apartado 2 del citado precepto "... Serán rectificados o cancelados, en su caso, los datos..." no contribuye a aclarar el tema pues da pie a la interpretación de que no cabe una cancelación directa, esto es, sin pasar previamente por la rectificación, interpretación que no comparto toda vez que existirán incumplimientos que deban conducir directamente a la cancelación, quedando la rectificación para los meros errores materiales o mecánicos del tratamiento. También debe señalarse que la cancelación no debe conducir al borrado, sino al bloqueo de los datos, conforme a lo prevenido en el apartado tercero de dicho precepto. Por último, si los datos rectificados o cancelados hubiesen sido comunicados a terceros, deberá comunicarse dicha rectificación o cancelación.

Lo anterior ciertamente es válido como teoría general de los derechos de rectificación y cancelación, pero, cuando se refiere al tratamiento del dato sanitario, conviene efectuar algunas precisiones. Así, mientras la rectificación será perfectamente aplicable al mismo, ya que no se halla excluido de la comisión de posibles errores en su tratamiento, la cancelación del dato tratado dentro de una institución y centro sanitario público o privado será una operación más difícil de imaginar, por cuanto supone una presencia casi permanente del consentimiento de la persona concernida, es decir, porque el origen del dato sanitario casi exclusivamente procederá de su titular. En este sentido, el dato de salud será muy difícil que provenga de un tercero en condiciones tales que supongan un incumplimiento de lo dispuesto en la L. O. Otra cuestión es la de la fuga de datos de salud que puedan producirse desde el fichero hospitalario a un tercer fichero para el que, de no mediar consentimiento del afectado, es claro procederá casi automáticamente el derecho de cancelación.

Una cuestión interesante a aclarar sería la de cancelación del dato sanitario obrante en instituciones sanitarias, públicas o privadas, como consecuencia del fallecimiento del titular. No creo que existan, al menos no las conozco, disposiciones especiales que regulen dicha materia. El tema es importante ya que si el ejercicio del derecho de cancelación solo puede ejercerse por el titular, como consecuencia de su carácter personalísimo, ello supondrá que, cuando el titular haya fallecido, los datos personales sanitarios permanecerán en el fichero a lo largo de los tiempos.

La forma de llevar acabo el ejercicio de estos derechos no dejará de plantear problemas en teoría y en la práctica por cuanto son varias las cuestiones que les afectan. En tal sentido, ha de señalarse que el desarrollo reglamentario que efectuó el Real Decreto 1332/1994, de 20 de junio, cuando se hallaba vigente la L. O. 5/1992, es de aplicación en la actualidad en virtud de lo dispuesto en la disposición transitoria tercera de la L. O. 15/1999, de 13 de diciembre, mientras no se lleven a efecto las previsiones de la disposición final primera, relativa a un futuro desarrollo reglamentario y en tanto las disposiciones de aquél no se opongan al contenido de la L. O. Cumplidas ambas exigencias, los procedimientos establecidos en la citada disposición reglamentaria se encuentran plenamente vigentes y las solicitudes a través de las cuales se ejerzan dichos derechos deberán tenerlos presentes. Lo anterior no es incompatible con la afirmación de que dicha regulación planteará algún problema, sobre todo en lo referente al derecho de oposición, como consecuencia de la falta de regulación reglamentaria a la que con anterioridad hice alusión.

El Capítulo IV del citado R. D., bajo la rúbrica del "ejercicio y tutela de los derechos del afectado" contiene las normas concretas y específicas de aplicación. Lo primero que se destaca en el mismo es el carácter personal de los derechos, esto es que, conforme a su artículo 11, se señala que tanto "los derechos de acceso a los ficheros automatizados, así como los de rectificación y cancelación son personalísimos y serán ejercidos por el afectado frente al responsable del fichero...", la referencia que efectúa a continuación respecto a que se tengan en cuenta las limitaciones que se prevean en la L. O. 5/1992, habrá que entenderlas referidas a la L. O. 15/1999, que es la vigente y además es la que ha derogado a aquélla, conforme a su disposición derogatoria única. La remisión que se efectúa a favor al R. D. que estoy comentando siempre lo será para el supuesto de que el mismo no contradiga a la vigente L. O. La referencia a la naturaleza personal del ejercicio de estos derechos no aparece en la L. O. de forma expresa, si bien se deduce claramente de la redacción del artículo 15 de la misma cuando establece que "el interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento...". Es decir, solamente él será el único legitimado para tal ejercicio. No contiene la L.O. la previsión, que sí la recoge el R.D., respecto de la posibilidad de actuar mediante un representante legal del afectado cuando éste se encuentre "... en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de los mismos."; pareciendo lógica la actuación a través del representante. La parte última referida a que esté imposibilitado para el ejercicio personal de los mismos no deja de ser superflua en cuanto que la imposibilidad será siempre la consecuencia de la incapacidad o minoría de edad. Por otra parte, el precepto se refiere a la incapacidad jurídica y por tanto es diferente de la situación de incapacidad física que, juntamente con la jurídica, es objeto de tratamiento en la parte final del apartado 6 del artículo 7 de la L. O. De todos modos, con relación a este precepto, es curioso observar que se anula totalmente la intervención del representante legal a efectos de otorgar el consentimiento para el tratamiento del dato de salud, lo que sin duda vendrá impuesto por la situación de "salvaguarda del interés vital del afectado" que el mismo considera. Además de la obligación que se impone al que ejercita el acceso al fichero de que el contenido del mismo se refiera a datos que le conciernan, el R.D. le impone otra serie de obligaciones que pueden sintetizarse en: que el acceso deberá ejercerse mediante petición o solicitud dirigida al responsable del fichero y que, aun cuando pueda formularse por cualquier medio, siempre deberá garantizar la (previa) identificación del afectado, haciendo igualmente constar el fichero o ficheros a consultar (apartado 1 del artículo 12). También el interesado viene obligado a utilizar uno de los sistemas de consulta que el fichero permita, si bien, dentro de los que sean compatibles, podrá optar por uno o varios. El apartado 2 del precepto enumera una serie de sistemas de consulta, pero sin intención de imponer un numerus clausus, pues admite igualmente que el afectado pueda optar "por cualquier otro procedimiento que sea adecuado a la configuración e implantación material del fichero", siempre que sea ofrecido por el responsable del fichero.

Hasta ahora hemos visto las obligaciones o requisitos que debe cumplir el titular del dato para poder efectuar el acceso al fichero, debiendo examinar en este momento las obligaciones del responsable del fichero ante el ejercicio del derecho de acceso. El primer deber de esta persona es el de dar respuesta a la previa petición formulada por el titular del dato. A ella se refiere el apartado 3 del artículo 12 del R. D. cuando establece que "el responsable del fichero responderá a la petición de acceso en el plazo máximo de un mes a contar de la recepción de la solicitud.". Es decir, ante la petición, el responsable del fichero puede adoptar cualquiera de estas tres posiciones: contestar afirmativamente a la solicitud, para lo que se le concede el plazo máximo de un mes, debiendo en este caso hacer efectivo el acceso en el plazo de diez días siguientes a la notificación; contestar igualmente, pero de forma negativa, para lo que entiendo se le otorga el mismo período de tiempo; y, por último, no dar ninguna respuesta a la petición, silencio que tiene un valor negativo, de denegación, una vez haya transcurrido igualmente aquel plazo. La referencia que el R. D. hace a la L. O. 5/1992 (artículo 17.1) deberá entenderse efectuada al artículo 18 de la L. O. vigente. El segundo deber que compete al responsable del fichero es el relativo a la información. A ella se refiere el artículo 13 del R. D, tanto cuando establece que "la información, cualquiera que fuere el soporte en que fuere facilitada, se dará en forma legible e inteligible, previa transcripción en claro de los datos del fichero, en su caso", conforme a su apartado 1, esto es, regula la forma en que ha de suministrarse aquélla, como cuando dispone que " la información comprenderá los datos de base del afectado y los resultantes de cualquier elaboración o proceso informático, así como el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos.", conforme a su apartado 2, esto es, regula el contenido de la misma.

Con anterioridad se ha expuesto que si la contestación efectuada por el responsable del fichero era negativa se entendía denegado el acceso solicitado. Pues bien, el R. D. se refiere expresamente a esa forma negativa en su artículo 14 al señalar que "Se denegará el acceso a los datos de carácter personal registrados en ficheros de titularidad pública cuando se de alguna de los supuestos contemplados en los artículos 14.3, 21.1 y 2, y 22.2 de la L. O. 5/1992". La remisión que se efectúa a dichos preceptos debe entenderse referida a los artículos 15.3 (cuando el acceso se ejercite a intervalos inferiores a doce meses y no acredite el interesado un interés legítimo para efectuarlo en un plazo inferior), 23.1 y 2 (cuando concurran intereses de naturaleza superior como la defensa del Estado, la seguridad pública, la protección de derechos y libertades o se trate específicamente de ficheros de los que sea titular la Hacienda Pública) y 24.2 (cuando la información al afectado impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones Públicas o afecte a la Defensa Nacional, a la seguridad pública o a la persecución determinadas infracciones penales o administrativas). Respecto del mismo, debe señalarse que la limitación (denegación) del derecho de acceso solamente será aplicable a los ficheros de titularidad pública, nunca a los de titularidad privada, para los que solamente se establece la posibilidad de efectuar una negativa al acceso que no es otra que la de que la solicitud para el mismo la efectúe "otra persona distinta del interesado".

Desde el punto de vista del dato sanitario, debe indicarse que la posibilidad de aplicación del precepto variará, como es lógico, según se trate de fichero de titularidad sanitaria pública o privada. Ahora bien, en la práctica serán de escasa aplicación todas esas causas de denegación. Por ello, puede afirmarse con carácter general que el titular del fichero sanitario deberá responder a la solicitud de acceso que le formule el titular del dato, pudiéndose negar a la misma, bien cuando la ejercite en plazos inferiores al año, siempre que no se justifique la existencia de un interés legítimo al efecto para acceder en tiempo inferior, bien cuando la solicitud sea efectuada por quien no es el titular.

La regulación del derecho de rectificación o cancelación aparece contenida en el artículo 15 del R.D. Tiene su justificación en el derecho que asiste al titular del dato para efectuar dichas operaciones siempre que aquéllos fueran "... inexactos o incompletos, inadecuados o excesivos". No obstante, ha de señalarse que la L.O. ha rectificado el contenido del R. D. en algunos aspectos. Así, en cuanto a las causas de la rectificación o cancelación, ya no son las que anteriormente se establecían en el R. D. sino cuando "...el tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos." La formulación contenida en el R. D. daba pie para entender que la rectificación operaba para los supuestos de que los datos no fuesen exactos o completos (ya que la rectificación iría dirigida a alcanzar tales metas) mientras que la cancelación primaba en los supuestos de inadecuación o de exceso. La redacción de la vigente L.O., artículo 16, permite mantener que tanto la rectificación como la cancelación pueden aplicarse indistintamente a todos los supuestos legales. Igualmente, en cuanto al plazo para hacer efectivos estos derechos, ya que conforme a su apartado 1, el responsable del tratamiento tiene ahora un plazo de diez días frente a que se le reconocía en el R. D. La razón que haya ponderado el legislador para dicha ampliación seguramente habrá sido la dificultad de efectuar una contestación en el plazo inicial de cinco días.

La cancelación supone la supresión del dato. En tal afirmación se hallan conformes tanto la L. O. como el R. D., pero ambas disposiciones difieren en cuanto a la regulación de la misma. Así, el artículo 16 del R. D. señala que "en los casos en que, siendo procedente la cancelación de los datos, no sea posible... el responsable del fichero procederá al bloqueo de los datos...". Por el contrario el artículo 16. 3 de la L. O. establece que "la cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido dicho plazo deberá procederse a la supresión." Es decir, según el R. D., el bloqueo era una solución en los supuestos en que no fuera posible la "... extinción física, tanto por razones técnicas como por causa del procedimiento o soporte utilizado...", para la L. O., el bloqueo se configura como una etapa de cumplimiento obligado que siempre será previa a la supresión del dato. No es necesario señalar que esta discrepancia entre ambos textos legales deberá resolverse a favor de la L. O., si bien quedarán ciertas dudas en la aplicación de la misma, como son la subsistencia o no del bloqueo para los supuestos de imposibilidad de extinción anteriormente aludida o el alcance de la conservación "...para la atención de las posibles responsabilidades nacidas del tratamiento...".

Si entiendo que se halla vigente el párrafo 2° del artículo 16 del R. D. en cuanto establece que "...en el supuesto en que se demuestre que los datos han sido recogidos o registrados por medios fraudulentos, desleales o ilícitos..., la cancelación de los mismos comportará siempre la destrucción del soporte en el que aquéllos figuren.", ya que su contenido no parece contrario con lo que dispone el apartado 3 del artículo 15 de la L. O. ("...posibles responsabilidades nacidas del tratamiento..."), sino más bien un complemento del mismo.

No parece que el ejercicio de los derechos de rectificación y cancelación comportarán especialidades cuando del dato sanitario se trate. Quizá, pudiera afirmarse que la rectificación en esta especialidad será menor que en datos de otra naturaleza por cuanto el dato personal sanitario siempre procederá directamente del titular del mismo, lo que sin duda eliminará posibles inexactitudes o incorrecciones. Tampoco la cancelación, con el trámite previo del bloqueo, parece que puedan suponer especialidades dignas de mención en esta materia.