A-00238-2015

1/6 Procedimiento Nº: A/00238/2015 RESOLUCIÓN: R/02605/2015 En el procedimiento A/00238/2015, instruido por la Agencia Española de Protección de Datos a Doña C.C.C., vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 15 de septiembre de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que denuncia que, con fecha 30 de julio de 2014, acudió a una consulta de ginecología en el Hospital Universitario de Burgos, a través de la Seguridad Social, donde fue atendida por la Doctora B.B.B., la cual le comentó la posibilidad de participar en el Estudio ESTRADIOL14 (SEC-EST-2014-01), a lo que accedió firmando el consentimiento. No obstante, con posterioridad decidió no participar en el mismo, pero le fue imposible contactar con la doctora para que excluyera sus datos del citado Estudio. En la documentación que le fue entregada no consta en ningún sitio información sobre la recogida de sus datos y como puede ejercer sus derechos de Acceso, Rectificación, Cancelación u Oposición. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 2 de enero de 2015, se recibió escrito del Hospital Universitario de Burgos, en contestación a nuestra solicitud de información, en el que manifiestan que: 1.1. Recabada información de la responsable de la Unidad de Investigación de ese Centro Hospitalario y Secretaría del Comité Ético de Investigación Clínica, no consta que ante el citado Comité se haya presentado protocolo para el Estudio ESTRADIOL 14 (SEC-EST-2014-01). 1.2. Solicitando información a la Dra. B.B.B. sobre la cuestión, se constata mediante escrito de la facultativa, que: 1.2.1.El estudio que está realizando, no se incluyó a ninguna persona que haya sido vista en el Hospital, sino con pacientes de su actividad particular. 1.2.2.En ningún momento se ha dado nombre, apellidos, dirección, teléfono o cualquier dato que pueda identificar a las personas incluidas en el citado Estudio, permaneciendo dichas pacientes en el más absoluto anonimato, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 solo se ha incluido en la estadística, la edad y anticonceptivo que toman. 1.2.3.El consentimiento que en su día firmó la denunciante, no ha sido utilizado, ya que no han sido incluidas en el Estudio ninguna paciente del Hospital. 2. Con fecha 22 de abril de 2015, se recibe en esta Agencia escrito del Hospital de Burgos, en contestación a nuestra solicitud de información, manifiestan que: 2.1. La denunciante fue atendida en el Servicio de Ginecología con fecha 30 de julio de 2014, fecha en la que consta firmado el Consentimiento informado para el Estudio del ESTRADIOL 14, adjuntado por la denunciante a su escrito de denuncia. 2.2. Se adjunta impresión de pantalla de los Sistemas de Información del Hospital, que acreditan la visita realizada por la denunciante al Hospital y copia del Informe de esa fecha suscrito por la Dra. B.B.B., como facultativo que le atendió. 3. Con fechas 22 de mayo y 19 de junio de 2015, se reciben en esta Agencia escritos de la Dra. B.B.B., en contestación a nuestras solicitudes de información, poniendo de manifiesto que: 3.1. Cuenta con un fichero inscrito en el Registro General de Protección de Datos, con el código D.D.D., en el que incluye los datos de los pacientes que atiende en su consulta privada. 3.2. La información de las pacientes que participaron en el Estudio, se remiten a la Sociedad Española de Contracepción, que según manifestaciones anteriores, no incluyen datos identificativos de las pacientes. 3.3. Adjunta copia del Consentimiento Informado firmado por la denunciante, no obstante, se verifica, que en el mismo no consta información relativa al responsable del fichero donde se incluyen sus datos ni con relación al Ejercicio de los Derechos de acceso, rectificación, cancelación y oposición. 3.4. No refiere como informa a sus pacientes con relación a dicha información sobre Protección de ¨Datos. 3.5. El Procedimiento seguido para el envío de información a la Sociedad Española de Contracepción, es el estipulado en el Código Tipo de FARMAINDUSTRIA de Protección de Datos en el Ámbito de la investigación clínica y de la Farmacovigilancia. 3.6. Adjunta a su escrito copia del citado CODIGO TIPO. TERCERO: Con fecha 25 de agosto de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00238/2015. Dicho acuerdo fue notificado a la denunciante y a la denunciada. CUARTO: La Dra. B.B.B. presentó alegaciones en las que expone que en la hoja de información al paciente sí que consta dónde ejercitar los derechos de acceso, rectificación y cancelación de los datos; hoja informativa que facilitó la Sociedad Española de Contracepción. En los estudios no se incluyen datos identificativos de las pacientes. Por ello, expone que no hay base para sancionarla y en todo caso debería C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 sancionarse a la Sociedad Española de Contracepción. HECHOS PROBADOS PRIMERO: Doña A.A.A. presentó denuncia señalando que, con fecha 30 de julio de 2014, acudió a una consulta de ginecología en el Hospital Universitario de Burgos, a través de la Seguridad Social, donde fue atendida por la Doctora B.B.B., quien le comentó la posibilidad de participar en el Estudio ESTRADIOL14 (SEC-EST-2014-01), a lo que accedió firmando el consentimiento. No obstante, con posterioridad decidió no participar en el mismo, pero le fue imposible contactar con la doctora para que excluyera sus datos del citado Estudio. En la documentación que le fue entregada no consta en ningún sitio información sobre la recogida de sus datos y como puede ejercer sus derechos de Acceso, Rectificación, Cancelación u Oposición. SEGUNDO: Doña A.A.A. fue atendida en el Hospital Universitario de Burgos, por la Doctora B.B.B., el día 30 de julio de 2014. TERCERO: En el Registro General de Protección de Datos figura inscrito un fichero, con el código D.D.D., en el que incluye los datos de los pacientes que atiende Doctora B.B.B. en su consulta privada. CUARTO: En el Consentimiento Informado firmado por la denunciante se verifica que en el mismo no consta información relativa al responsable del fichero donde se incluyen sus datos ni con relación al ejercicio de los Derechos de acceso, rectificación, cancelación y oposición. No obstante, si aparece en la Hoja de información facilitada al paciente. QUINTO: La denunciante no ha participado en el estudio ESTRADIOL14 (SEC-EST2014-01). SEXTO: El fichero que se elabora para el estudio ESTRADIOL14 (SEC-EST-2014-01) no incluye datos que puedan identificar a las participantes en dicho estudio. SÉPTIMO: En la documentación presentada por la denunciante consta la hoja de consentimiento informado sin ningún número de teléfono al que dirigirse para solicitar el ejercicio de los derechos de Acceso, Rectificación, Cancelación u Oposición, ni firma de las dos partes. En la copia aportada por la denunciada se observa que el consentimiento está firmado por ambas y se incluye el número de teléfono de la Doctora B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 II En el supuesto examinado, hay que determinar, en primer lugar, si el fichero que se genera en la realización del estudio ESTRADIOL14 (SEC-EST-2014-01) contiene datos personales. Tras las actuaciones previas de investigación se ha verificado que se trata de una encuesta que hace la ginecóloga participante en el estudio a las pacientes que desean participar. En la hoja informativa de las participantes se les informa específicamente de que recogerán algunos datos de la historia clínica de la paciente/participante (fecha de nacimiento, raza, número de gestaciones, partos y abortos, número de hijos vivos, nivel de estudios, ocupación laboral y método anticonceptivo). Tras explicarles las composiciones de la anticoncepción hormonal combinada con la de vía oral se les hará una serie de preguntas. Esto supone que los cuestionarios recogidos no contienen datos personales que hagan fácilmente identificables a las participantes, y que se envía al Promotor (tal y como se informa), que es la Sociedad Española de Contracepción. Por tanto, el fichero que se genera para el envío de datos a la Sociedad Española de Contracepción no es un fichero que contenga datos personales que identifiquen o hagan identificable a las participantes, sino que están anonimizados. III En el artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. En el supuesto denunciado, el fichero que se está generando no va a contener datos personales, y así se indica en la “Hoja de Información al paciente”. Sin embargo, se hace expresa mención a la confidencialidad de la información sobre los datos a los que el investigador acceda durante el estudio, haciendo referencia a la LOPD y a la posibilidad de ejercitar los derechos ARCO. En consecuencia, no se aprecia incumplimiento de la Dra. B.B.B. en la información que entrega a las participantes en el estudio, ya que con los datos recogidos no se identifica a las pacientes que consienten en participar en el estudio ESTRADIOL14 (SEC-EST-2014-01). De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00238/2015) el procedimiento iniciado a Doña C.C.C., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
9. c)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a Doña C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 3.- NOTIFICAR el presente Acuerdo a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es