A-00134-2016

1/7 Procedimiento Nº: A/00134/2016 RESOLUCIÓN: R/01309/2016 En el procedimiento A/00134/2016, instruido por la Agencia Española de Protección de Datos a Doña A.A.A., vista la denuncia presentada por Don C.C.C., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 15 de junio de 2015, tiene entrada en esta Agencia Española de Protección de Datos, escrito de Don C.C.C. (en adelante el denunciante) en el que declara lo siguiente: Que Dª. B.B.B. se encontraba ingresada en el Hospital Comarcal de Vinaròs (en adelante la paciente), pareja sentimental del denunciante y que el 9 de enero de 2015, desde el control de enfermería, se informa por teléfono de su situación a una tercera persona. Que la tercera persona se identificó como personal sanitario y familiar de la paciente, con objeto de que informaran a la madre de la paciente que se encontraba en otra localidad. Por lo que, sin previa autorización, se proporcionó información a través de llamada telefónica; a su criterio, el personal que facilitó la información, vulneró el deber de guardar secreto del artículo 10 de la Ley Orgánica 15/1999. Se adjunta informe elaborado por el Jefe de Guardia del Hospital Comarcal de Vinaròs el día que se desarrollaron los hechos, en el que describen lo manifestado por el denunciante. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos consta inscrito el fichero denominado “INFORMACION CLINICO ASISTENCIAL”, siendo responsable la Consejería de Sanidad de la Generalitat Valenciana y cuya finalidad es la “gestión del historial clínico del paciente atendido en los centros dependientes de la Consejería de Sanidad”. 2. El Hospital Comarcal de Vinaròs ha remitido a la Inspección de Datos, con fecha de 4 de noviembre de 2015, en relación con los hechos declarados por el denunciante, un informe del Jefe de Guardia y un escrito del Servicio de Documentación Clínica y Admisión en los que figuran los siguientes aspectos: Todo el personal de los centros sanitarios de la Generalitat Valenciana (no solo con categoría de sanitario) con acceso a la más mínima información relacionada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 con la historia clínica de cualquier paciente tienen el deber de cumplir con la Ley Orgánica 15/1999. Es por ello que, para habilitar el acceso a cualquier aplicación informática los usuarios deben firmar una credencial de acceso, con el perfil y permisos adecuados a su categoría, donde se informa de las obligaciones del usuario de mantener el secreto sobre las informaciones de carácter personal. El Hospital Comarcal de Vinarôs aporta un informe de la Jefa de la Guardia sobre la incidencia del día 9 de enero de 2015, que incluye la declaración de la Facultativo de Guardia de la UCI aquel día, Dª. A.A.A., en la que manifiesta esta Doctora lo siguiente: Que el día 9 de enero del 2015, recibieron una llamada telefónica en el control de enfermería de la Unidad de Medicina Intensiva (UMI), de una persona que se identifica como personal sanitario y familiar de la paciente ingresada en la dicha unidad, quien en esos momentos se halla bajo sedación. Solicita información del estado de la paciente, inicialmente le comunican que por teléfono no se da información, que se ponga en contacto con su pareja. Ante la insistencia del interlocutor, el médico de guardia reitera que no se informa, pero ante su insistencia alegando que la madre de la paciente se encuentra en otra localidad, nerviosa y angustiada, que deseaba viajar urgentemente esa noche, y, haciendo una excepción, se le comunica la situación de la paciente. Con esta información se intenta aliviar la angustia del familiar directo que se encuentra en Madrid. Al día siguiente se personan en la UMI los padres de la paciente junto con la hermana de la misma que son informados por los profesionales sanitarios de la situación de la paciente comprobándose un trato de cordialidad entre la paciente y sus familiares. Que el denunciante solicitó una explicación al Hospital Comarcal de Vinaròs por dar información clínica de la paciente a familiares y que el médico de guardia le explica lo ocurrido y queda conforme con la misma y con la buena fe del personal sanitario. TERCERO: Con fecha 15 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00134/2016. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 18 de mayo de 2016, se recibe en esta Agencia escrito de Dª. A.A.A. en el que alega lo siguiente: que considera que no ha infringido el artículo 10 de la LOPD ya que facilitó una información a una persona que se identificó como familiar de Doña B.B.B. y no fue detallada sino la mínima imprescindible para calmar el estado de preocupación y ansiedad que sufría una madre al desconocer el estado de su hija y que se encontraba en otra provincia. La información de que estaba estable tras una complicación en la cesárea se facilitó por razones humanitarias para clamar la intranquilidad y evitar un viaje por la noche con esa preocupación. La paciente estaba sedada y no podía contactar con sus familiares ni dar el consentimiento, estando presente solo su pareja sentimental. Al explicarle al día siguiente a la pareja lo sucedido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 mostró su conformidad y no fue hasta cuatro meses más tarde cuando ha presentado la denuncia, no así la paciente. No ha habido ningún perjuicio, solo se tranquilizó a la madre y hermana de la paciente. La norma del Hospital es la de no facilitar nunca información, esto fue un caso excepcional. HECHOS PROBADOS PRIMERO: Dª. B.B.B. estuvo ingresada en el Hospital Comarcal de Vinaròs. SEGUNDO: El día 9 de enero de 2015, cuando la Sra B.B.B. estaba ingresada, se recibió una llamada telefónica en el control de enfermería de la Unidad de Medicina Intensiva (UMI), de una persona que se identifica como personal sanitario y familiar de la paciente ingresada en la dicha unidad, quien en esos momentos se halla bajo sedación. Solicita información del estado de la paciente, inicialmente le comunican que por teléfono no se da información, que se ponga en contacto con su pareja. La médico de guardia reitera que no se informa, pero ante su insistencia alegando que la madre de la paciente se encuentra en otra localidad, nerviosa y angustiada, que deseaba viajar urgentemente esa noche, y, haciendo una excepción, se le comunica la situación de la paciente. Con esta información se intenta aliviar la angustia del familiar directo que se encuentra en Madrid. TERCERO: Todo el personal de los centros sanitarios de la Generalitat Valenciana (no solo con categoría de sanitario) con acceso a la más mínima información relacionada con la historia clínica de cualquier paciente tienen el deber de cumplir con la Ley Orgánica 15/1999, incluida la obligación de confidencialidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la información acerca de una paciente ingresada en un centro sanitario, en concreto la información facilitada telefónicamente a la madre y hermana de la paciente. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
2. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, Doña A.A.A., Facultativo de Guardia en el Hospital de Vinaroz el día 9 de enero de 2015, atendió una llamada telefónica en la que preguntaban por el estado de una paciente allí ingresada. A pesar de indicarle que no se daba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 información telefónica sobre pacientes, al insistir que llamaba una hermana de la paciente, en nombre de su madre, y que se encontraban en Madrid, se le facilitó una información somera sobre su estado médico, aduciendo motivos humanitarios para ello. Ciertamente, tradicionalmente en los Hospitales se atendía este tipo de llamadas solicitando información sobre el número de habitación, el estado del paciente… No obstante, la LOPD vino a modificar ese uso social prohibiendo facilitar información de terceros, salvo que contase con el consentimiento del titular de los datos. En el supuesto denunciado, ha quedado acreditado, siendo reconocido por la propia médica denunciada, que ésta facilitó información telefónica a un familiar de una paciente, aun conociendo la prohibición expresa del centro hospitalario, si bien lo hizo para tranquilizar a la madre de la paciente que se encontraba en otra ciudad. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
3. d)de la LOPD. En este precepto se establece lo siguiente: “
4. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta probado que los datos personales de una paciente fueron facilitados telefónicamente a una tercera persona, no habiendo acreditado que dispusiera del consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
5. d)de la LOPD. III El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
7. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
8. a)y
9. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la persona imputada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, que se ha tratado de un hecho puntual y excepcional, no consta una vinculación relevante de la actividad de la misma con la realización de tratamientos de datos de carácter personal, el volumen de tratamientos, la ausencia de beneficios, el grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En el presente caso, se trata de un hecho puntual que ha llevado a facilitar datos de terceras personas a la denunciante, por lo que procede apercibir a la denunciada. Se le requiere que adopte las medidas que estime adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD, si bien no se hace seguimiento de las mismas, al tratarse de un hecho puntual y excepcional. Ella misma ha indicado que tienen instrucciones de no facilitar información telefónica sobre pacientes, por lo que la medida debe ser acatar esta obligación de respeto al principio de la confidencialidad de los datos y la obligación de guardar secreto. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00134/2016) a Doña A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
10. d)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a Doña A.A.A. 3.- NOTIFICAR el presente Acuerdo a Don C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es