1/6 Procedimiento Nº: A/00048/2014 RESOLUCIÓN: R/01378/2014 En el procedimiento A/00048/2014, instruido por la Agencia Española de Protección de Datos a la entidad GRUPO CLINICO RECOLETOS, vista la denuncia presentada por Dª. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 30 de abril de 2013, tiene entrada en esta Agencia un escrito de Dª. A.A.A., en el que denuncia que, tras solicitar una copia de su historia clínica a la Clínica “Grupo Clínico Recoletos”, donde estaba siendo atendida para reproducción asistida, le fue entregado su historial, junto con documentación relativa a otra pareja, consistente en análisis e informes médicos. Asimismo, denuncia que le han entregado análisis clínicos realizados en el Laboratorio MEGALAB, S.A., en los que consta la leyenda: “Este documento no puede ser reproducido total ni parcialmente salvo autorización por escrito al Laboratorio”, no teniendo constancia de que exista dicha autorización. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Con fecha 1 de agosto de 2013, se recibe en esta Agencia escrito de Recoletos Gestión Sanitaria, S.L., en el que ponen de manifiesto que: 1.
- A lo largo de los meses de marzo y abril de 2013, se llevó a cabo un proceso rutinario de auditoría y revisión de Historiales clínicos, para ello se realizaron copias para la auditoria y se codificaron por fecha de consulta y número de Historia, dicha copia después se destruye. 1.
- En el caso de la denunciante, se produjo un error en la codificación de las copias, con la historia de otra paciente, motivado por la coincidencia en las fechas de consulta, asignándoles el mismo número de Historia, y archivándose a la espera de la auditoria. 1.
- Cuando la denunciante solicitó el acceso a su historia se le entregó la copia para la auditoría que estaba en su expediente con todos los documentos archivados con su número de historia, donde se encontraban, los de la otra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 paciente. Esa copia erróneamente codificada se hubiera localizado en la auditoría y se habría destruido. 1.
- Con relación a la cláusula existente en la copia del análisis realizado por Laboratorio MEGALAB, manifiestan que: 1.4.1.En el mes de octubre de 2012, se suscribe una Cláusula de Encargado del Tratamiento para la prestación de Servicios de Análisis Clínicos por MEGALAB, S.A., en la que consta que, una vez entregado el informe de resultados a Recoletos Gestión Sanitaria, éste es propiedad de la clínica. Por lo que, para la difusión del mismo al paciente o persona autorizada, podrá reproducir y entregar el informe en el formato que considere más adecuado. TERCERO:Con fecha 17 de marzo de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00048/
- Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Notificado el Acuerdo de Audiencia Previa la entidad denunciada presentó escrito en el que comunica: “En el momento en que tuvimos conocimiento de estos hechos, nos pusimos en contacto con Dña C.C.C. y D. D.D.D. para comunicarles lo sucedido. Los pacientes entendieron la situación y no manifestaron intención ninguna de iniciar procesos de reclamación al respecto. (Se adjuntó en su momento copia del escrito firmado por los pacientes en fecha 6 de mayo). También rogamos a D. B.B.B., en reunión mantenida en el despacho del Dr. E.E.E., que destruyese la documentación que, por error, habíamos incluido en su copia. A día de hoy, no tenemos constancia de si lo hizo, o no. (…)
- Medidas adoptadas para evitar que el error en la documentación vuelva a cometerse: 1.-A partir del pasado año 2013, se han realizado las auditorías sobre las historias originales de las pacientes, escogiendo pacientes que no estuvieran citadas el día de la auditoría (se ha establecido internamente que no se realizarán copias de las Hs clínicas a menos que lo soliciten los pacientes o las autoridades judiciales o sanitarias). 2.- Asimismo, se han dado instrucciones a todo el personal de recepción de la clínica para que, en caso de que una paciente solicite copia de su Historia, el proceso sea el siguiente: * Solicitud por parte de la paciente, por escrito, en modelo normalizado de la clínica, de una copia de su historial. * Realización por parte de una de las personas de recepción de la copia correspondiente a revisión de dicha copia. * Comprobación por parte del facultativo responsable del proceso de que la copia realizada incluye todos los episodios y toda la documentación clínica relevante de la paciente (esta comprobación se realizaba anteriormente sobre la historia clínica original, previa a realizar la copia, lo que eliminaba la posibilidad de que el propio facultativo pudiera advertir el error). * 2ª comprobación, por parte de otra persona distinta de la recepción, de la copia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 realizada antes de su entrega a la paciente. * Entrega a la paciente o persona debidamente autorizada (con autorización firmada y copias de los DDNNI de la paciente y de la persona autorizada) de la copia de su historial.” HECHOS PROBADOS PRIMERO: La denunciante de este procedimiento solicitó una copia de su historia clínica a la Clínica “Grupo Clínico Recoletos”. Junto a lo solicitado se le entregaron también análisis e informes médicos de otra pareja. SEGUNDO: La entidad denunciada ha manifestado que en los meses de marzo y abril de 2013, se llevó a cabo un proceso rutinario de auditoría y revisión de Historiales clínicos, para ello se realizaron copias de los mismos y se codificaron por fecha de consulta y número de Historia, que después se destruye. En el caso de la denunciante, se produjo un error en la codificación de las copias, con la historia de otra paciente, por la coincidencia en las fechas de consulta, asignándoles el mismo número de Historia, y archivándose a la espera de la auditoria. Cuando la denunciante solicitó el acceso a su historia se le entregó la copia realizada para la auditoría que estaba en su expediente con todos los documentos archivados con su número de historia, donde se encontraban, los de la otra paciente. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
- g) en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, la entidad Recoletos Gestión Sanitaria SL entregó a la denunciante parte de la historia clínica de otro paciente. La entidad denunciada ha manifestado que el incidente se debió a un problema con las copias de los historiales realizadas para un proceso de auditoría porque las correspondientes a dos pacientes se archivaron con el mismo nº de historia y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 entregaron a la denunciante al recibir su solicitud. Notificado el acuerdo de audiencia previa la entidad denunciada ha manifestado que en el momento en que tuvieron conocimiento de los hechos, se pusieron en contacto con los pacientes cuyos datos se habían revelado para comunicarles lo sucedido, que los pacientes entendieron la situación y que también pidieron al denunciante en este procedimiento que destruyese la documentación que, por error, habíamos incluido en su copia. Exponen también en su escrito que han establecido un procedimiento para evitar que el error en la documentación vuelva a cometerse y relacionan las medidas adoptadas al respecto. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00048/2014) las actuaciones practicadas a la entidad Recoletos Gestión Sanitaria SL con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la entidad Recoletos Gestión Sanitaria SL. 4.-NOTIFICAR el presente Acuerdo a Dª. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es