A-00037-2018

1/10 Procedimiento Nº: A/00037/2018 RESOLUCIÓN: R/00752/2018 En el procedimiento A/00037/2018, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por la entidad CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de julio de 2017, tiene entrada en esta Agencia una denuncia presentada por el representante de CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. (en lo sucesivo, el denunciante o la clínica), en la que manifiesta que D. A.A.A. (en adelante el denunciado), trabajó en la clínica y al cesar sus servicios en ella, en la primera quincena de julio de 2017, envió a los pacientes mensajes de texto informándoles del cambio de domicilio de su consulta para continuar con el tratamiento iniciado. Denuncia por tanto, la sustracción de los datos personales de los pacientes de la mencionada clínica. El denunciante manifiesta que el denunciado ejercía de endocrino en la clínica y que tenía acceso a las historias clínicas de los pacientes y a sus datos personales. Con fecha 13 de octubre de 2017, a requerimiento de esta Agencia, el denunciante aporta la siguiente documentación: 1 Copia de las facturas de fechas 28 de febrero y 31 de marzo de 2017, emitidas por el denunciado a la clínica por “los servicios profesionales médicos prestados para sus pacientes”. 2 Copia del presupuesto de tratamiento de un paciente de la clínica, de fecha 17 de Mayo de 2017, en el que figura como facultativo el denunciado, firmado por el paciente en el que se informa de que los datos facilitados serán incluidos en el fichero de pacientes de la clínica, con la finalidad de seguimiento y gestión de su tratamiento. 3 Copia impresa de un SMS (no consta fecha ni remitente) con el texto “Buenos días, teniendo en cuenta que ha sido paciente del dr A.A.A., deseamos informarle de su cambio de domicilio, desde la calle XXX a sus nuevas instalaciones en la calle YYY. Si desea seguir tratamiento ya iniciado con él, rogamos que se ponga en contacto con nosotros a través del mismo número de teléfono (…). Estaremos encantados verle de nuevo. Un cordial saludo ...” 4 Copia de un SMS remitido con fecha 17 de julio, por el denunciante al denunciado en el que le informan de que han comprobado que ha dispuesto de la base de datos de clientes de la clínica para fines personales y que van a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 interponer las correspondientes denuncias y le instan a que se abstenga de contactar con más clientes para fines personales. 5 Copia de un correo electrónico, de fecha 16 de julio de 2017, dirigido a un paciente desde la dirección ***EMAIL.1. informando del cambio de domicilio y teléfono del denunciado. 6 Copia de la denuncia policial de fecha 17 de julio de 2017, interpuesta por el denunciante por los mismos hechos denunciados a la Agencia. 7 Copia de la Resolución de la Agencia de fecha 11 de junio de 2015, en la que se comunica la inscripción de los ficheros de los que es responsable la clínica, entre ellos figura el fichero de CLIENTES. 8 Copia del informe de situación de ficheros inscritos en el Registro General de Protección de Datos, de fecha 11 de junio de 2015, donde figura entre otros el fichero denominado HISTORIAL CLINICO. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha comprobado en el Registro General de Protección de Datos la inscripción, con fecha 28 de octubre de 2010, del fichero denominado HISTORIAL CLINICO, cuyo responsable es D. A.A.A.. Con fecha 20 de noviembre de 2017, A.A.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1 Durante dos años ha prestado sus servicios como free-lance para DOCTOR T., sin firmar ningún tipo de contrato. 2 En las consultas de los pacientes, utilizaba su propio ordenador, por lo que dispone de los datos de los pacientes que ha tratado, que se tratan en el fichero que consta inscrito en el Registro General de Protección de Datos. 3 Como médico prescriptor, trataba los datos de sus pacientes, a los que comunicó su cambio de domicilio para que, si lo deseaban, continuaran con el tratamiento. 4 No ha sustraído ningún informe médico de DOCTOR T, no obstante, algunos de los pacientes le han entregado en la consulta informes médicos que los propios pacientes han solicitado a DOCTOR T. A este respecto aporta uno de los informes aportado por uno de sus pacientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 TERCERO: Con fecha 19 de julio de 2017, tiene entrada en esta Agencia una denuncia presentada por D. A.A.A. en la que expone que como especialista en Endocrinología ha mantenido una relación laboral durante dos años con el titular de la entidad CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. y que dicha relación ha finalizado el 5 de julio de 2017. No suscribió ningún tipo de contrato con la Clínica para el desarrollo de su trabajo. Que la mayor parte del tiempo que ha prestado sus servicios en dicha Clínica, solo disponía de su propio ordenador para el desarrollo de su tarea, por lo que dispone en el mismo de datos de los pacientes en el fichero del que es titular y que consta inscrito en el Registro General de Protección de Datos. El denunciante manifiesta que es a esos pacientes a los que se ha dirigido para informarles de su cambio de domicilio para el caso de que estuvieran interesados en continuar siendo atendidos por él. CUARTO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 23 de noviembre de 2017, el representante de CLINICA DOCTOR T, ha remitido a esta Agencia la siguiente información en relación con los hechos expuestos por el denunciante. 1. La relación que se estableció con el denunciante fue una relación mercantil, según la cual éste pasaba consulta un día a la semana, durante el periodo comprendido entre noviembre de 2015 hasta junio de 2017, fecha en la que finalizó la relación. 2. Como acreditación de la relación establecida con el denunciante se aportan varias facturas emitidas por el denunciante a la CLINICA DOCTOR T, correspondientes a los servicios profesionales médicos prestados para sus pacientes. Según manifiestan la relación se estableció mediante un contrato verbal mercantil. 3. A los trabajadores de la Clínica se les informa sobre los aspectos relacionados con sus derechos y obligaciones en relación con el tratamiento de datos de los pacientes, mediante una circular cuya copia adjuntan. Según manifiestan, al denunciante se le entregó el citado documento. 4. Los pacientes firman consentimiento de tratamiento de datos con la Clínica. Aportan copia del modelo de Consentimiento Informado que firman, donde figura que sus datos serán tratados en un fichero cuyo titular es la CLINICA DOCTOR T. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 QUINTO: Consultada el 23 de enero de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, a D. A.A.A. no le constan registros previos. SEXTO: Con fecha 30 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00037/2018. Dicho acuerdo fue notificado al denunciado. SÉPTIMO: Con fecha 26 de febrero de 2018 se recibe en esta Agencia escrito del denunciado en el que comunica que interpuso querella criminal contra el representante legal de Clínicas T, por delito de apropiación indebida, así corno por los delitos de falsedad documental, suplantación y contra la salud pública. Se mencionan los correspondientes artículos del Código Penal en que se basa y el Juzgado de Instrucción ante el que se sigue el procedimiento. Por ese motivo solicita que se paralice el expediente administrativo hasta que se resuelva el procedimiento penal iniciado. OCTAVO: Con fecha 1 de marzo de 2018 se solicita la aportación de constancia de la presentación de la querella mencionada en su escrito para la valoración de lo solicitado. Con fecha 16 de abril de 2018 el denunciado aporta el escrito de la querella presentada por los delitos mencionados. NOVENO: Con fecha 5 de marzo tiene entrada en el Registro de esta Agencia un escrito del representante de CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. en el que aporta un documento presentado por el denunciado ante el Colegio de Médicos de Madrid. Expone que en el documento el doctor denunciado justifica que disponía de los datos de los pacientes porque utilizaba su propio ordenador portátil para el trabajo. El representante de la clínica manifiesta que eso es imposible porque se utiliza un software de gestión online al que se accede por internet con usuario y contraseña. Explica en conclusión, que el uso de un pc particular o de empresa no es óbice para guardar datos de los pacientes, que en el programa utilizado no hay opción de descarga masiva, de forma que los guardaría uno a uno deliberadamente y que en el documento reconoce que dispone de los datos procedentes de sus archivos. En el documento aportado el doctor denunciado manifiesta que “los datos de los pacientes que poseo son los que se encuentran en mi propio ordenador portátil, ya que durante 2 años de relación, no se me adjudicó uno propiedad de la clínica, hasta después de un año por lo tanto son datos que están bajo mi custodia…” HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 PRIMERO: El denunciado prestó sus servicios como especialista en Endocrinología en la clínica de terapia masculina Doctor T sin que mediara contrato escrito, la relación se estableció mediante un contrato verbal mercantil, entre noviembre de 2015 y junio de 2017, según manifiesta el representante de la clínica. Se aportan copias de las facturas emitidas por el denunciado a la clínica por “los servicios profesionales médicos prestados". SEGUNDO: Se ha aportado el presupuesto de tratamiento de un paciente de la clínica, de fecha 17 de Mayo de 2017, en el que figura como facultativo el denunciado, firmado por el paciente en el que se informa de que los datos facilitados serán incluidos en el fichero de pacientes de la clínica, con la finalidad de seguimiento y gestión de su tratamiento. El representante de la clínica aporta la copia del Consentimiento Informado que firman los pacientes, donde figura que sus datos serán tratados en un fichero cuyo titular es la CLINICA DOCTOR T. TERCERO: Consta la aportación de un SMS con el texto “Buenos días, teniendo en cuenta que ha sido paciente del dr A.A.A., deseamos informarle de su cambio de domicilio, desde la calle XXX a sus nuevas instalaciones en la calle YYY. Si desea seguir tratamiento ya iniciado con él, rogamos que se ponga en contacto con nosotros a través del mismo número de teléfono (…). Estaremos encantados verle de nuevo. Un cordial saludo ...” Figura también un correo electrónico de 16 de julio de 2017, dirigido a un paciente desde la dirección ***EMAIL.1. informando del cambio de domicilio y teléfono del denunciado. CUARTO: Copia de un SMS remitido con fecha 17 de julio, por el denunciante al denunciado en el que le informan de que han comprobado que ha dispuesto de la base de datos de clientes de la clínica para fines personales y que van a interponer denuncias y le instan a que se abstenga de contactar con más clientes para fines personales. Se ha presentado copia de la denuncia policial de 17 de julio de 2017, interpuesta por el denunciante por los mismos hechos denunciados a la Agencia. QUINTO: Que D. A.A.A. no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento de los datos personales, de los pacientes de CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 II Se imputa a D. A.A.A. el tratamiento de los datos de los pacientes de la entidad CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de los pacientes de la entidad denunciante realizado por D. A.A.A. resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que el denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
2. h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
3. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
4. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que los pacientes de la clínica denunciante firmaban un consentimiento informado en el que se indicaba que los datos serían incluidos en el fichero de pacientes de la clínica y se ha aportado un presupuesto de tratamiento de un paciente, en el que figura el denunciado como facultativo, en el que se le informa en el mismo sentido, con la finalidad de seguimiento y gestión de su tratamiento. Se ha aportado un SMS y un correo electrónico dirigidos a pacientes en los que se les informa del cambio de domicilio y teléfono del denunciado y les ofrecen continuar con el tratamiento. El denunciado ha manifestado que durante los dos años en que ha prestado sus servicios a la clínica, sin firmar ningún contrato, utilizaba su propio ordenador y que por eso dispone de los datos de los pacientes que ha tratado en la consulta. Esta misma afirmación la realiza en el documento presentado ante el colegio de Médicos de Madrid, aportado a este procedimiento por el denunciante. A este respecto cabe contestar que los pacientes eran informados de que sus datos se iban a incluir en el fichero de pacientes de la clínica, tanto en el presupuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 como en el consentimiento informado, según ha acreditado el representante de la clínica, de manera que en esta ocasión los datos personales de los pacientes tratados por el doctor denunciado en la clínica doctor T, forman parte del fichero de pacientes de esta clínica según se les informa en los documentos que firman. El hecho de que el ordenador que se utiliza sea propio, no significa que los datos estén bajo su custodia, según afirma el denunciado en el documento presentado ante el Colegio de Médicos de Madrid. Para que el doctor fuera el responsable de los datos personales de los pacientes tratados en la clínica, debía existir, bien un contrato por escrito en el que un apartado de protección de datos determinase que él era el responsable del tratamiento de los datos personales de los pacientes, o bien se les informase de ello en los documentos en los que aportasen datos personales. Por otra parte, y con relación a la solicitada paralización del procedimiento por parte del denunciado por la interposición de una querella criminal por varios delitos, cabe responder que, valorados los motivos de dicha interposición no se observa que exista identidad de hecho ni de fundamento, por lo que no procede acceder a la paralización solicitada. La querella se fundamenta en cuestiones del ejercicio profesional que nada tienen que ver con el tratamiento de datos de carácter personal dirimido en este procedimiento. Por tanto, se ha acreditado que se realizó un tratamiento de los datos personales de los pacientes de la entidad denunciante, a quienes se comunicó la nueva consulta del doctor denunciado, sin que este haya podido acreditar que contaba con su consentimiento para dicho tratamiento, infringiendo así el artículo 6.1 de la LOPD. IV El artículo 44.3.
5. b)de la LOPD, dispone que es infracción grave: “
6. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
7. b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción grave “
8. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, por tanto, se está describiendo una conducta -el tratamiento de datos personales o su uso posterior– que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la LOPD. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Ordinarios como del Tribunal Constitucional (STC 292/2002). Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales de los pacientes del denunciante sin que se haya acreditado que se disponía de su consentimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00037/2018) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
9. d)de la citada Ley Orgánica. 2.- REQUERIR a D. A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6 de la LOPD. En concreto se insta al denunciado a que se asegure de que dispone del consentimiento de los pacientes para el tratamiento de sus datos de carácter personal, debiendo abstenerse del tratamiento de los datos de los pacientes de la entidad Clínicas de terapia masculina doctor T, S.L.. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es