← España

A-00002-2016

1/15 Procedimiento Nº: A/00002/2016 RESOLUCIÓN: R/00973/2016 En el procedimiento A/00002/2016, instruido por la Agencia Española de Protección de Datos a D A.A.A., vista la denuncia presentada por D. D.D.D. y Dª C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 2 de marzo de 2015 tiene entrada en esta Agencia un escrito de D. D.D.D. y Dª C.C.C. (ambos en representación de D. B.B.B.) en el que se ponen de manifiesto los siguientes hechos: D. D.D.D. y Dª C.C.C. son padres de D. B.B.B. menor de edad, el cual acudía al CENTRO DE RECUPERACIÓN INTEGRAL PEÑALARA SL (en adelante CRI PEÑALARA) para recibir terapia desde marzo de 2012, comenzando un nuevo tratamiento en octubre de 2013. Con fecha 16 de febrero de 2015, la madre solicita información de seguimiento respecto del nuevo tratamiento y se le hace entrega de unos documentos, entre los que se encuentran videos de su hijo y un documento denominado “Presentación del caso” en el que se encuentran anonimizados los datos personales pero constan fotografías del menor e información respecto a la terapia, con datos de salud. Los padres del menor manifiestan que en ningún momento se les ha solicitado consentimiento para la grabación de imágenes de su hijo, motivo por el cual contactan con la clínica donde le indican que esta documentación ha sido aportada por una terapeuta de CRI PEÑALARA para finalizar sus estudios en el Instituto de Neuropsicología y Psicopedagogía Aplicadas SL (INPA), el cual custodia la documentación aportada por los alumnos hasta la valoración final, que se realizó durante el mes de junio de 2014, por especialistas en el tratamiento que viajan desde Brasil. Todo este proceso se realizó también sin solicitar el consentimiento de los padres, los cuales contactaron con el INPA donde le indican que los exámenes se realizaron en septiembre de 2014 y posteriormente se devuelve toda la documentación al alumno y, en algunos casos, se remite la documentación a Brasil para el estudio con anterioridad a la valoración final. Asimismo les informan que el INPA considera que los alumnos han solicitado el consentimiento para el envío de la documentación a su entidad y su remisión a Brasil. Con fecha 26 de febrero de 2015, reciben del CRI PEÑALARA todo el expediente del menor incluyendo los CD-ROM que previamente habían solicitado. Adjunto a la denuncia se ha aportado CD-ROM con imágenes de un menor realizando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 diversas actividades, un certificado del INPA, de fecha 25 de febrero de 2015, por el que se hace entrega a la terapeuta la documentación aportada para el curso, Ficha Personal del CRI PEÑALARA donde constan datos personales del menor y documento “Presentación del Caso” con fotos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Tal y como consta en el Acta de Inspección E/2534/2015-I/1 realizada en los locales de CRI PEÑALARA en fecha 23 de junio de 2015: 1. CRI PEÑALARA es un centro clínico especializado en la recuperación orientada al bienestar del paciente y entre las actividades que realiza, constan especialidades médicas de Pediatría y atención temprana a menores. Al llegar un paciente a la Clínica por primera vez se cumplimenta un formulario donde se recaban datos básicos de identificación, domicilio, teléfonos y dirección de mail y, en caso de menores, datos de nombre de los padres. En este formulario se incluye una leyenda en la que se hace referencia a lo previsto en el artículo 5 de la LOPD y la forma de ejercer los derechos ARCO. Hace aproximadamente un año se modificó el formulario de recogida de datos con objeto de incluir el consentimiento para la grabación de imágenes y por ello consta la siguiente leyenda: “Acepto la realización de fotos o videos del paciente como forma más objetiva de llevar un adecuado control de su evolución, en ningún caso para su utilización de forma publicitaria en ningún tipo de medio” junto con una casilla que debe de ser marcada en caso de que los padres consientan las grabaciones. Además la entidad dispone de un formulario específico para solicitar el consentimiento para la publicación de imágenes en el que consta: ”Con la inclusión de las nuevas tecnologías dentro de los medios didácticos al alcance de la comunidad médica la posibilidad de que en estos puedan aparecer imágenes de vuestros hijos durante la realización de las actividades en este Centro, y dado que el derecho a la propia imagen está reconocido……..en la Ley 15/1999, de 13 de diciembre sobre la Protección de Datos de Carácter Personal: La Dirección de este Centro pide el consentimiento a los padres o tutores legales para poder publicar las imágenes de las diferentes terapias y actividades realizadas en este Centro”. 2. CRI PEÑALARA no tiene relación con ninguna escuela de formación, no obstante, muchos de los terapeutas que prestan sus servicios realizan cursos de especialización en diferentes centros y en algunas ocasiones éstos utilizan información recogida de las diferentes terapias, para ello, la persona que va a realizar el curso solicita verbalmente a la Dirección de CRI PEÑALARA la posibilidad de utilizar imágenes de los pacientes y a éstos, o a sus tutores en caso de menores, les solicitan su autorización por escrito. CRI PEÑALARA recoge el formulario de autorización para incluirlo en la historia clínica del paciente. 3. CRI PEÑALARA manifiesta que a principios del año 2015, los padres de D. B.B.B. contactan con la terapeuta Dª A.A.A., que presta sus servicios profesionales en CRI PEÑALARA, la cual hace entrega a los padres de unos documentos en relación con la terapia que se estaba proporcionando a su hijo y en ese momento, los padres tienen conocimiento de que, grabaciones de imágenes realizadas a su hijo, junto con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 información respecto a la terapia utilizada, ha sido presentada por la terapeuta para la finalización de un curso de formación en el Instituto de Neuropsicología y Psicopedagogía Aplicada -INPA- sin haber solicitado su consentimiento. 4. Los denunciantes contactan con CRI PEÑALARA, que desconoce la información utilizada por la terapeuta y comprueban que no hay por escrito consentimiento de los padres para la utilización de imágenes del menor. Por ello solicitan a Dª presentado al INPA. A.A.A. los documentos y las grabaciones que haya Y con fecha 25 de febrero de 2015, el INPA hace entrega de DVD de grabación de terapia aportado por Dª A.A.A. y en esa misma fecha la terapeuta hace entrega del DVD en CRI PEÑALARA. CRI PEÑALARA contacta con los padres para hacerle entrega del DVD. 5. Los denunciantes solicitan la cancelación de los datos de su hijo y la entrega del expediente HISTORIA CLINICA y con fecha 12 de mayo de 2015, CRI PEÑALARA recibe un escrito del abogado de los padres de D. B.B.B. en el que se solicita información sobre el origen y destino de los datos del menor ya que tiene conocimiento de que los mismos han podido ser visualizados por terceros y remitidos a Brasil. En este escrito solicitan nuevamente la cancelación de todos los datos del menor. A este respecto, CRI PEÑALARA remite escrito de contestación, en fecha 25 de mayo de 2015, en el cual informan que no tiene ninguna relación con el INPA pero que han contactado con ellos con objeto de conocer el destino del DVD y que les habían informado que estuvo siempre en el INPA a la espera de que la profesora lo evaluara cuando viajara a España y por tanto no se había remitido a ningún sitio. 6. Se ha verificado que la HISTORIA CLINICA de D. B.B.B. no se encuentra en el archivo general de CRI PEÑALARA. 7. Se ha verificado que en la HISTORIA CLINICA de D. B.B.B. figura una Ficha Personal del CRI PEÑALARA donde constan sus datos personales que coincide con la aportada por los denunciantes. Asimismo se ha verificado que no figuran DVD o CD- ROM con imágenes o fotografías del menor ni consta el documento denominado “Presentación del Caso”. A este respecto CRI PEÑALARA manifiesta que tanto las imágenes como el documento fueron elaborados por la terapeuta Dª. A.A.A. para su presentación en el INPA pero no forma parte de la HISTORIA CLINICA. Con fecha 25 de junio de 2015 se solicita información al INPA y a Dª A.A.A. respecto de la documentación objeto de la denuncia. De las respuestas recibidas en fechas 10 y 20 de julio de 2015 se desprende: 8. El INPA manifiesta que como proceso de evaluación de sus alumnos exige una grabación del propio alumno aplicando los ejercicios prácticos de la terapia, con una “breve descripción aclaratoria del caso” para poder tener en cuenta todos los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 detalles. Dicha grabación es sólo para evaluar al alumno por lo que se especifica que la persona sobre la que se apliquen los ejercicios no es necesario que sea un paciente. Las grabaciones se suelen remitir a Brasil para su evaluación por la profesora ya que reside habitualmente en este país. 9. El INPA realizó un único envío a Brasil en el cual no constaban los documentos y las grabaciones realizadas por Dª A.A.A. ya que se entregaron en el INPA fuera del plazo previsto para su envío, por tanto, permanecieron en el INPA hasta el mes de septiembre de 2014 que fueron entregadas en mano a la profesora para que durante los días del curso en el INPA pudiese corregir aquellas grabaciones de los alumnos que no se habían remitido. El INPA manifiesta que nadie, excepto la profesora que no pertenece al equipo de profesionales del Centro, visualiza las grabaciones y aunque en algunas ocasiones se exponen fragmentos de algunas de ellas con fines didácticos, la grabación de Dª A.A.A. no fue expuesta. Al finalizar el curso, la profesora devuelve a cada alumno su grabación. En el caso de Dª A.A.A. no pudo ser entregada el último día del curso quedándose la documentación en el INPA hasta el 25 de febrero de 2015 que fue entregado en mano al alumno. A este respecto, el INPA ha aportado certificado firmado por Dª A.A.A. de entrega de la grabación. 10. El INPA manifiesta que desconoce el contenido de las grabaciones y la solicitud de consentimiento para su realización. Asimismo manifiesta que no existe ninguna copia de la grabación, ni hay ninguna documentación del menor B.B.B.. 11. Por su parte, Dª A.A.A. manifiesta que para realizar las grabaciones de las sesiones de terapia de D. B.B.B., se solicitó el consentimiento verbal de los padres en presencia de otras dos terapeutas. Dicho consentimiento fue concedido verbalmente, por lo cual no existe documentación por escrito acreditativa del mismo. A este respecto, ha aportado un escrito firmado por ella misma y otras dos personas donde se indica que se solicitó autorización a los padres del menor para la grabación y presentación del caso clínico en el módulo de formación de la terapia que realizaban y los padres accedieron a la realización de la grabación. D. B.B.B. era paciente de CRI PEÑALARA desde marzo de 2012 e inició una nueva terapia en octubre del 2013 con tres terapeutas. Al pedir la autorización, llevaba nueve meses realizando esta última terapia por lo que la relación con los padres era de confianza y por ello se les expuso verbalmente y de manera clara y extensa que como requisito para asistir al último módulo de formación de la terapia utilizada con su hijo se exigía una grabación de una sesión completa de tratamiento. Dª A.A.A. manifiesta que si la familia se hubiera negado o alegado objeción alguna a dicha grabación nunca se hubiera hecho. 12. Dª A.A.A. manifiesta que la primera grabación es de 40 segundos y fue realizada en octubre de 2013 por ella misma y otra terapeuta al iniciar la terapia. La segunda grabación corresponde a una sesión completa de 43 minutos y fue grabada en junio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 de 2014 para presentarla como caso de estudio en el mencionado módulo de formación, también grabada por ella y otra terapeuta. Las grabaciones se efectuaron con una cámara que había a disposición en el Centro y se almacenaron directamente en el portátil personal de Dª A.A.A.. Posteriormente se incluyeron en un CD entregado al INPA para ser supervisado por la profesora y fue recogido en mano el 25 de Febrero del 2015 y entregados a CRI PEÑALARA. Las grabaciones no fueron expuestas a los participantes del curso. Al final del documento de Presentación del caso se especifica: “Los datos y fotos presentados en este informe son confidenciales y solo se utilizarán como caso de estudio.” 13. Dª A.A.A. manifiesta no tener constancia de que los documentos y grabaciones se incorporaran a la HISTORIA CLINICA ya que la finalidad de la grabación era exclusivamente para su utilización en el curso. TERCERO: Con fecha 19 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00002/2016. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Notificado el trámite de audiencia, se recibe en esta Agencia escrito de la denunciada en el que comunica: “…Pero es preciso hacer constar que los padres de B.B.B. eran conocedores y estaban conformes con que se iba a hacer la grabación, y que, con otros datos serían sometidos al INPA como forma de supervisión de la corrección de la terapia, y dieron su consentimiento a ello, si bien dicho consentimiento no se obtuvo por escrito, (…) Negamos el contenido del párrafo donde se hace constar que los padres del menor manifiestan que no se les ha solicitado el consentimiento, pues como consta más adelante en el propio escrito de la Agencia sí les fue solicitado y obtenido, aunque ciertamente sólo de forma verbal, dado que la finalidad del mismo era muy limitada y exclusivamente con fines científicos y docentes asociados a la propia terapia, y formando parte y en beneficio de la misma. (…) Efectivamente es cierto que el 26 de febrero los padres reciben la documentación del CRI PEÑALARA, documentación que como se deduce de todo lo anterior ya tenían; resaltar también que, como figura más adelante, los datos estaban anonimizados.(…) No hacemos objeciones al contenido de los preceptos y consideraciones que se transcriben en este apartado, que justifican la propuesta de apercibimiento que hace la resolución; pero decir que realmente no se llegó a producir tratamiento de los datos, y que aun en el caso de que se considerara que sí, la misma tuvo una directa relación con el éxito de la terapia, ya que la supervisión por parte de la formadora supone una ratificación de la corrección de la misma, y puede aportar elementos nuevos que propicien su mejora, en beneficio del paciente. Invitamos a examinar la página WEB del INPA, o Instituto de Neuropsicología y Psicopedagogía Aplicadas, institución prestigiosa, en la que se puede ver con claridad que su finalidad es la de la investigación continua y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 constante respecto a los avances terapéuticos, que permita la mejora permanente de las técnicas terapéuticas, para una mejor práctica respecto a la que los terapeutas formados realizan a sus pacientes, y en beneficio finalmente del propio paciente.” Concluye su escrito la denunciada solicitando que se dicte resolución conforme a lo actuado y considerando sus alegaciones. HECHOS PROBADOS PRIMERO: Con fecha 23 de junio de 2015 se lleva a cabo una Inspección por esta Agencia de Protección de Datos en los locales de CRI PEÑALARA, un centro clínico especializado en la recuperación para el bienestar del paciente. Entre las actividades que realiza constan especialidades médicas de Pediatría y atención temprana a menores. Disponen de un formulario de recogida de datos personales de sus clientes que cuenta con la información prevista en el artículo 5 de la LOPD e incluye la solicitud del consentimiento para la grabación de imágenes de los tratamientos. La entidad también dispone de un formulario para solicitar el consentimiento para la publicación de las imágenes. SEGUNDO: Con fecha 16 de febrero de 2015, la madre de un paciente del CRI PEÑALARA, menor de edad, solicita información sobre el nuevo tratamiento de su hijo y le entregan unos documentos, entre los que se encuentran videos de su hijo y un documento denominado “Presentación del caso” en el que están anonimizados los datos personales pero constan fotografías del menor e información de la terapia, con datos de salud. Los padres del menor manifiestan que no se les ha solicitado su consentimiento para la grabación de imágenes de su hijo. En la clínica les indican que esta documentación ha sido aportada por una terapeuta para finalizar sus estudios en el Instituto de Neuropsicología y Psicopedagogía Aplicadas SL (INPA). Con fecha 26 de febrero de 2015, reciben del CRI PEÑALARA todo el expediente del menor incluyendo los CD-ROM que previamente habían solicitado. Adjunto a la denuncia se ha aportado CD-ROM con imágenes de un menor realizando diversas actividades, un certificado del INPA, de fecha 25 de febrero de 2015, por el que se hace entrega a la terapeuta la documentación aportada para el curso, la Ficha Personal del CRI PEÑALARA donde constan datos personales del menor y el documento “Presentación del Caso” con fotos. TERCERO: La terapeuta que ha realizado las grabaciones manifiesta que la primera grabación fue realizada en octubre de 2013 al iniciar la terapia y la segunda fue grabada en junio de 2014 para presentarla como caso de estudio en el mencionado módulo de formación, grabadas por ella y otra terapeuta. Las grabaciones se efectuaron con una cámara del Centro y se almacenaron directamente en el portátil personal de la terapeuta. Posteriormente se incluyeron en un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 CD entregado al INPA para ser supervisado por la profesora y fue recogido en mano el 25 de Febrero del 2015 y entregados a CRI PEÑALARA. Las grabaciones no se expusieron en el curso. Al final del documento "Presentación del caso" se especifica: “Los datos y fotos presentados en este informe son confidenciales y solo se utilizarán como caso de estudio.” La terapeuta, Dª A.A.A. manifiesta que para realizar las grabaciones de las sesiones de terapia de D. B.B.B., se solicitó el consentimiento verbal de los padres en presencia de otras dos terapeutas. Ha aportado un escrito firmado por ella y otras dos personas donde se indica que se solicitó autorización a los padres del menor para la grabación y presentación del caso clínico en el módulo de formación de la terapia que realizaban y los padres accedieron a la realización de la grabación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
  2. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
  3. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD define el tratamiento de datos personales en su artículo 5.t), en los siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que las grabaciones de la terapia del paciente, realizadas por la imputada en este procedimiento constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. De los hechos probados en este procedimiento, se deduce que los denunciantes han declarado que la terapeuta de su hijo menor de edad no les ha solicitado su consentimiento para la grabación de imágenes del tratamiento y para su presentación en un curso de formación. Consta también como hechos probados que con fecha 26 de febrero de 2015, los denunciantes han recibido del CRI PEÑALARA todo el expediente del menor incluyendo el CD-ROM y que se adjunta a la denuncia. En este CD-ROM pueden verse imágenes de un menor realizando diversas actividades, consta también un certificado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 del INPA, de fecha 25 de febrero de 2015, por el que se hace entrega a la terapeuta de la documentación aportada para el curso, la Ficha Personal del CRI PEÑALARA donde constan datos personales del menor y el documento “Presentación del Caso” con fotos. En el presente procedimiento no hay constancia de consentimiento para el tratamiento de datos personales realizado. Si consta acreditado el tratamiento de datos realizado por la imputada con la grabación de las sesiones de terapia del hijo de los denunciantes y su presentación en un curso de formación. La denunciada ha manifestado que para realizar las grabaciones solicitó su consentimiento verbal de los padres en presencia de otras dos terapeutas y aporta un escrito firmado por ella y otras dos personas donde se indica que se solicitó autorización a los padres del menor para la grabación y presentación del caso clínico en el módulo de formación de la terapia que realizaban y los padres accedieron a la realización de la grabación. El artículo 7.3 de la LOPD señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
  4. h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De la citada definición resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin él difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
  5. a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En el presente caso, no consta la existencia de actos de los afectados que revelen que efectivamente dieron su consentimiento a la denunciada para el tratamiento realizado de los datos de salud de su hijo, pues consta la presente denuncia a la AEPD, lo que revela precisamente la inexistencia de ese consentimiento expreso necesario para el tratamiento efectuado. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. El tratamiento de datos personales realizado con la grabación de la terapia del hijo de los denunciantes no se encuentra entre uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Por tanto corresponde a la denunciada acreditar que contaba con ese consentimiento inequívoco de los afectados para el tratamiento de los datos personales de su hijo. En las alegaciones de la denunciada al trámite de audiencia reitera que los padres del menor fueron informados de la grabación de la terapia de su hijo y de la finalidad de la misma y que dieron su consentimiento de forma verbal, que los datos de la grabación que se aportó en un curso estaban anonimizados y por último que la finalidad de la grabación era científica y docente para la mejora de la terapia y en beneficio del propio paciente. Sobre la posibilidad de un consentimiento que no conste por escrito para el tratamiento de datos realizado, ya ha quedado visto con anterioridad. Respecto de la manifestación de que los datos incluidos en el disco aportado al curso estaban anonimizados, cabe oponer que la imagen del niño constituye un dato de carácter personal del mismo porque permite su identificación y la grabación realizada constituye un tratamiento de datos personales. La cuestión alegada de que la finalidad de la grabación era científica y docente cabe responder que, como ya se ha visto también, la historia clínica es, según lo previsto en la ley de autonomía del paciente, un instrumento fundamental para su adecuada asistencia, además la LOPD excepciona de consentimiento el tratamiento de los datos relativos a la salud para: la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios. Los fines científicos y docentes, constituyen una finalidad distinta que debe ser debidamente informada, sin que el beneficio al paciente que se alega, justifique el tratamiento de datos realizado para el que no existe constancia de consentimiento. IV Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que la denunciada ha utilizado los datos personales del hijo de los denunciantes para una finalidad distinta de la prevista en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último, como ya se ha visto, en su artículo 16 determina cuales son los “Usos de la historia clínica”: En este procedimiento se ha acreditado que la denunciada ha tratado los datos relativos a la salud de un paciente para una finalidad incompatible con aquella para la que fueron recogidos: la asistencia sanitaria, el tratamiento médico o la gestión de servicios sanitarios. El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. El hecho constatado del tratamiento de los datos personales especialmente protegidos del afectado sin su consentimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 4.2 de la LOPD. V El artículo 44.3.
  6. c)de la LOPD considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” El principio de calidad de datos cuya vulneración se imputa a la denunciada, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 configura como uno de los principios básicos en materia de protección de datos. En este caso, la denunciada, ha incurrido en la infracción grave descrita ya que ha vulnerado el principio consagrado en el artículo 4.2 de la LOPD por realizar un tratamiento de datos para finalidades incompatibles con aquellas para las que fueron recogidos, conducta que encuentra su tipificación en el artículo 44.3.
  7. c)de la citada Ley Orgánica. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  10. a)y
  11. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad de la imputada teniendo en cuenta que no consta vinculación relevante de la actividad de la denunciada con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00002/2016) a Dª A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
  12. c)de la citada Ley Orgánica. 2.- REQUERIR a Dª A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 4.2 de la LOPD. En concreto se insta a la denunciada a que solicite el consentimiento expreso para el tratamiento de los datos de salud de sus pacientes cuando vayan a ser destinados a una finalidad distinta a las previstas en el artículo 6.7 de la LOPD o bien anonimice las imágenes por algún procedimiento como el pixelado. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando constancia, por ejemplo, del modelo de solicitud de consentimiento para el tratamiento de los datos relativos a la salud de sus pacientes para una finalidad diferente a las excepcionadas de consentimiento por la LOPD, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/02535/2016, podría incurrir en una infracción del artículo 37.1.
  13. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  14. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  15. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a Dª A.A.A.. 4.- NOTIFICAR el presente Acuerdo a D. D.D.D. y Dª. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.