A-00080-2018

1/9 Procedimiento Nº: A/00080/2018 RESOLUCIÓN: R/01111/2018 En el procedimiento A/00080/2018, instruido por la Agencia Española de Protección de Datos a la entidad IMS HEALTH, S.A.U., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 5/12/2017 tiene entrada en esta Agencia una denuncia de A.A.A. (en lo sucesivo, el denunciante), en la que manifiesta que es Médico del Servicio Madrileño de Salud y recibió en su centro de trabajo una carta ordinaria en al que se me informa de la inclusión de mi perfil en el fichero “ONE KEY PROFESIONALES SECTOR SALUD” titularidad de IMS HEALTH. Según indica, la finalidad del fichero es “reunir información sobre profesionales de la salud para su cesión a terceros”. Manifiesta que en ningún momento ha solicitado la inclusión en dicho fichero ni ha facilitado dato alguno para ello. Aporta copia de la carta en la que aparece la firma de un cargo de IMS HEALTH SAU, en la que figura su CIF. La carta contiene nombre y apellidos completos, como dirección la del Hospital C.C.C., servicio de Pediatría, y la dirección en Madrid, fechada el 24/11/2017. De la carta destaca:

1. a)Comienza indicando “Como compañía especializada en dar soporte a los laboratorios farmacéuticos para que estos puedan ofrecerle sus servicios en formación y comunicación de sus servicios de sus últimas novedades y del portal DOCNET.”
2. b)Contiene una información sobre sus datos indicando que están registrados en un fichero titularidad de IMS HEALTH SAU, del uso y cesión de los mismos.
3. c)IMS HEALTH SAU comercializa soluciones y programas informáticos y bases de datos de profesionales sanitarios.
4. d)Figura la sede y procedimiento ante la que ejercitar los derechos. En la información no figura la fuente de obtención de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 SEGUNDO: Con fecha 20/02/2018 se consulta en el Registro Mercantil, el CIF que aparece en la carta, resultando que en el mismo domicilio que en la carta se consigna, aparece la empresa IQVIA INFORMATION SA y un objeto social similar al que se contiene en la carta recibida por el denunciante. Asimismo, se efectúa consulta en la aplicación que gestiona en la AEPD las sanciones o apercibimientos previos, sin que al CIF referido le conste anotada sanción alguna. Por otro lado, según alguna información recogida en la web, IMS HEALTH se fusionó con Quintiles para formar Quintiles IMS Holdings, y posteriormente, se indica que QUINTILES IMS es ahora IQVIA - PMFarma. TERCERO: Con fecha 7/03/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00080/2018 por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
5. b)de dicha LOPD. Dicho acuerdo fue notificado al denunciado, al que se le envió copia del expediente previa petición de esta. CUARTO: Con fecha 26/04/2018 se reciben alegaciones de la denunciada que indica: 1) Se dedica a las funciones de prestación de servicios de información, de tecnología y consultoría a empresas del sector salud como laboratorios farmacéuticos. Dentro de los servicios que prestan a la industria farmacéutica se encuentra la puesta a disposición de sus clientes de una base de datos de profesionales de la salud-OKENEY- para que puedan comercializar sus productos y servicios y pueden ponerse en contacto o interactuar de cualquier forma con los profesionales sanitarios con fines comerciales. 2) La denunciada utiliza la información que figura en sus bases de datos ONEKEY PARA ENTRE OTRAS: -reclutamiento y evaluación de la idoneidad de profesionales sanitarios para su participación en ensayos clínicos e investigación de mercado y otros estudios de investigación -estudios de mercado e investigación en sectores público y privado. -realizar comunicaciones por medios electrónicos y marketing directo a profesionales sanitarios para contribuir a la promoción, distribución y desarrollo de productos y servicios sanitarios. -Adjunta carta in formativa en documento 3 que declaran se envía en la actualidad a los profesionales sanitarios a efectos de adaptarla a la nueva normativa de protección de datos. -Los datos incluidos en la base de datos ONEKEY son obtenidos por IQVIA directamente del interesado, de fuentes públicas o de nuestros clientes…” En este caso, los datos del denunciante se obtuvieron a través de uno de los mencionados clientes, los cuales son expresamente mencionados a los profesionales sanitarios en la correspondiente carta que se remite a los mismos. En caso de que los datos sean obtenidos de “nuestros clientes, el proceso se realiza a través de una solicitud de datos mínimos con los que IQVIA procede a la validación de los mismos, enriqueciéndolos con datos de contacto profesionales del interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 3) Manifiesta que el denunciante se dio de alta a través de la página webnutriciaforprofessionals.com, titularidad de NUTRICIA SRL. “En la misma, el profesional sanitario se dio de alta y aceptó los términos y condiciones de ONEKEY, conforme se aprecia en la impresión de pantalla” que aporta, de ello se desprende que el profesional sanitario o dispone ya de cuenta en ONEKEY o acepta los términos y condiciones expresamente. Aporta una impresión de una página de registro de datos en la que no se aprecia la dirección URL, y no hay ningún dato del denunciante. 4) Se indica que los datos se dan a NUTRICIA ADVANCED MEDICAL NUTRITION, y que por la suscripción al servicio se van a ceder a CNM HEALTHCARE CONSULTING GROUP LLC, si bien no figura casilla para oponerse. En otra parte del registro de datos, se cuestiona si ya tiene cuenta en ONEKEY. En el formulario que aporta figura en la parte inferior “una vez cumplimentado el cuestionario arriba mostrado, los datos del profesional sanitario se incorporan a la base de datos ONEKEY”. 5) Finaliza indicando que en fecha 24/02/2018, el denunciante se ha dado de alta en un servicio de IQVIA prestado a través de ONEKEY denominado ONEKEY WEB AUTHENTICATION. Aporta la impresión de una pantalla en la que figuran sus datos de número de teléfono móvil ***TLF.1, lugar de trabajo Hospital C.C.C., la dirección de correo electrónico y nombre y apellidos. HECHOS PROBADOS 1) El denunciante recibe una carta en su centro de trabajo, Hospital Infantil Universitario Niño Jesús, de Madrid, de IMS HEALTH SAU fechada 24/11/2017. En la misma no se le indica la procedencia de sus datos. Tras informarle de que el objeto de su entidad es la comercialización de productos y prestación de servicios a empresas e instituciones del sector sanitario farmacéutico, servicios que incluyen la recopilación y verificación de información relativa a profesionales, le informa que sus datos se hallan en el fichero ONEKEY PROFESIONALES DEL SECTOR SALUD. En la carta se contiene su nombre y apellidos, el Hospital en el que presta servicios, el servicio en el que los presta, la dirección. 2) En el literal de la carta se le informa de las finalidades del tratamiento con opciones para negarse al tratamiento o cesión en algunos supuestos. 3) IMS HEALTH, titular de la base de datos ONEKEY PROFESIONALES DEL SECTOR SALUD modificó su razón social pasando a llamarse IQVIA INFORMATION SA. 4) La denunciada no ha acreditado el origen de los datos del denunciante. El denunciante reconoce que presta servicios como médico del Servicio Público Madrileña de Salud. La denunciada no ha obtenido el consentimiento del afectado para tratar sus datos enviándole la carta objeto de la denuncia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 II El artículo 2.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); indica:“ este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales”. La Agencia emitió a través del Gabinete Jurídico el informe 164/2008 en el que realiza una valoración sobre la aplicación de la LOPD a los datos de contacto de médicos que se transcribe a continuación: “Esta Agencia se ha pronunciado acerca de la interpretación que ha de darse a lo dispuesto en el segundo inciso del precepto citado en numerosos informes a partir del emitido con fecha 28/02/2008, en que se señalaba lo siguiente: “(...) la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales”. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la LOPD, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. El segundo se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Así sucedería en caso de que el tratamiento responda a relaciones “business to business”, de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, sin la relación fuera “business to consumer”, siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de la comunicación, el tratamiento se encontraría plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento.” En el supuesto contemplado en el presente caso, debe tenerse en cuenta que el objeto de la carta es informarle que sus datos ya forman parte de un fichero de datos, los fines comerciales y de publicidad, la cesión de sus datos y la posibilidad de manifestar su negativa marcando las casillas y el modo de devolver la carta. Además, también se le indica que sus datos se publicaran en una página web así como la posibilidad de oponerse. En la carta no se indica el origen de los datos que constan en el envío. De este modo, no puede considerarse que la inclusión de los datos del facultativo sea meramente accidental en relación con la finalidad que justifica el tratamiento, que son sus datos como profesional y es precisamente la identificación de cada uno de los profesionales de la medicina el objeto de las bases de datos creadas y la finalidad que motiva su creación. En consecuencia, el fichero se encontrará planamente sometido a lo dispuesto en la LOPD, debiendo darse cumplimiento a las obligaciones previstas en la misma y en su Reglamento de desarrollo, entre las cuales se encuentra la del tratamiento con el consentimiento del afectado. El artículo 6 de la citada Ley Orgánica, después de establecer como regla general legitimadora del tratamiento en su apartado 1 el consentimiento del afectado, establece en su apartado 2 que “no será preciso el consentimiento (...) cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 3
7. j)de la Ley Orgánica enumera taxativamente las fuentes accesibles al público, señalando en su inciso segundo que “tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación”. De este modo, para que el tratamiento de los datos a los que se refieren el fichero en el que están incluidos los datos del denunciante resulten conformes a lo dispuesto en la LOPD, debería acreditar la denunciada que los datos que conserva proceden de listado de grupos profesionales con los datos que se indican. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 El artículo 7.1 del RLOPD aclara el concepto establecido en el artículo 3
8. j)de la Ley Orgánica, en particular en referencia al supuesto al que se viene haciendo referencia en este informe en su apartado
9. c)que incluye entre las fuentes accesibles al público: “Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional”. De lo dispuesto en el mencionado precepto se desprende, en primer lugar, que las listas a las que se refiere el precepto no han de identificarse necesariamente con los listados de profesionales editados o públicamente accesibles por Internet, por los Colegios Profesionales, dado que se establecen especiales aclaraciones en relación a los mismos que no serán predicables de la totalidad de las listas a las que se refiere el precepto. En consecuencia, la legislación de protección de datos permite que existan, con la condición de fuentes accesibles al público, listas de profesionales no procedentes de colegios profesionales. En segundo lugar, el precepto establece el contenido máximo que deberán incorporar dichos listados de profesionales. De este modo, si la lista incluyera otros datos distintos a los mencionados en el precepto, incluyendo el concepto amplio del término “dirección” que la propia norma prevé, tampoco podría considerarse incluida en la enumeración de las posibles fuentes accesibles al público, respecto de las cuales se legitima el tratamiento de los datos por el artículo 6.2 de la Ley Orgánica. Por último, el artículo 7.2 del Reglamento de desarrollo de la LOPD establece una exigencia adicional para que los ficheros puedan ser considerados fuentes accesibles al público, al disponer que “en todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación”. Ello excluirá del alcance de este concepto los listados de profesionales que pudieran encontrarse en Internet en sitios web en los que el acceso se encontrase restringido a un determinado colectivo, aun cuando se cumplieran los dos requisitos anteriormente citados. Tampoco alcanzaría a los datos recogidos de paneles que se encuentran a título informativo en los hospitales o en sus instalaciones. De lo señalado hasta ahora, cabe deducir que el tratamiento llevado a cabo sería conforme al artículo 6.2 de la LOPD siempre que concurrieran las siguientes condiciones en las listas de las que se hubieran obtenido los datos: - Dichas listas se refieren únicamente a profesionales de la medicina, pudiendo proceder o no de un colegio profesional. - Las listas contienen única y exclusivamente los datos a los que se refiere el artículo 3
10. j)de la LOPD, con la aclaración efectuada por el artículo 7.1
11. c)del Reglamento que la desarrolla. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 - Además, las listas son libremente accesibles por cualquier persona, mediando o no el pago de una contraprestación, pero el acceso no se encuentra limitado a un determinado colectivo (por ejemplo, los asegurados de la compañía de asistencia sanitaria). En el presente caso, y salvo prueba en contrario, no se acredita que los datos del denunciante se hayan recogido con el consentimiento del afectado o puedan proceder de listas de personas pertenecientes a grupos de profesionales u otras fuentes de acceso público. Por otro lado, relacionado con la recogida de datos de fuente de acceso público, el artículo 5.4 de la LOPD señala: “ Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
12. d)y
13. e)del apartado 1 del presente artículo. Esta información no se contenía en la carta recibida por el denunciante. La LOPD define tratamiento de datos en su artículo 3.c), que indica” operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Se acredita que IQVIA INFORMATION SA trató los datos del denunciante infringiendo el artículo 6.1 de la LOPD, que figura tipificada en el artículo 44.3.b de dicha LOPD que señala:” Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.”. III El artículo 45.6 de la LOPD, indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b Que el infractor no hubiese sido sancionado o apercibido con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Teniendo en cuenta que en el presente supuesto se cumplen los requisitos recogidos en los apartados
14. a)y
15. b)del citado apartado 6, se aplica el procedimiento de apercibimiento. En el presente caso, la denunciada no ha comunicado a esta Agencia las medidas correctoras adoptadas. Teniendo en cuenta estas circunstancias, procede realizar dicho requerimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00080/2018) a IMS HEALTH, S.A.U. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. 2.- REQUERIR a IMS HEALTH, S.A.U. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 45.6 de la LOPD. Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar sin que quepa realizar valoración alguna por parte de esta institución al no existir medidas específicas cuya adopción garantice que en el futuro no se vuelva a producir infracción como la declarada. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando acreditación de las medidas adoptadas, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a IMS HEALTH, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es