1/7 Procedimiento Nº: A/00241/2015 RESOLUCIÓN: R/03349/2015 En el procedimiento A/00241/2015, instruido por la Agencia Española de Protección de Datos a Dª. A.A.A., vista la denuncia presentada por D. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de mayo de 2015, tiene entrada en esta Agencia un escrito de B.B.B., en el que denuncia que, varias personas, han accedido a su Historia Clínica desde diferentes Centros de Salud, sin justificación. Entre estas personas se encuentra su exmujer que es enfermera del Servicio Andaluz de Salud, el resto de personas que han accedido parece ser que pertenecen todas al entorno de la misma. Adjunta listado de accesos, desde diferentes Centros de Almería, No obstante, él pertenece al Centro de Salud San Felipe de Jaén. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Examinado el listado de accesos remitido por el denunciante, se comprueba que en la mayoría de ellos, en caso de ser accesos injustificados, la infracción estaría prescrita. No obstante, se procede a la investigación de los accesos realizados por Dª. A.A.A. con fecha 15/10/2013, desde el Centro de Salud Cruz de Caravaca de Almería. 2. Con fecha 10 de julio de 2015, se recibe en esta Agencia escrito del Servicio Andaluz de Salud, Consejería de Igualdad, Salud y Políticas Sociales, con el que adjunta un escrito del Director de dicho Centro de Salud, en el que manifiesta que: 2.1. Respecto de Dña. A.A.A., se encuentra de Baja por Incapacidad, no habiendo podido emitir informe al respecto. TERCERO: Con fecha 9 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00241/2015. Dicho acuerdo fue notificado al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 denunciante y a la denunciada. CUARTO: Notificado el acuerdo de audiencia previa se recibe en esta Agencia escrito de la denunciada en el que comunica: Que no dispone de notificación previa a la del presente acuerdo de audiencia previa al apercibimiento porque no se le comunicó la solicitud de información que se hizo al Servicio Andaluz de Salud porque se encontraba de Baja laboral desde junio de 2015. Que no existe relación de ningún tipo con la ex mujer del denunciante, y que tiene conocimiento de ella a través del pediatra de sus hijos o desde Servicios Sociales, quienes le manifiestan preocupación por la situación de los menores siempre motivadas por denuncias. Manifiesta que recuerda que en fechas previas al 15 de octubre de 2013 se les informa de una denuncia por la situación de los menores. Expone en su escrito que con objeto de aclarar la situación legal de los progenitores por su separación, sobre la guardia y custodia de los menores, accedió a la historia social del paciente que forma parte de su historia clínica para verificar el domicilio del padre de los menores y su posible filiación sin acceder a sus datos clínicos porque por su perfil profesional no puede acceder a ellos. Que la madre de los menores refiere en consulta de su Pediatra la separación de la pareja y los problemas de los menores por lo que ese facultativo contacta con ella como Trabajadora Social del Centro, en el que trabajan como equipos Multiprofesionales. Expone finalmente que siempre actuó de acuerdo a la Ley, con buena Fe, protegiendo los derechos de los menores y de acuerdo al protocolo de actuación ante denuncias de maltrato infantil. HECHOS PROBADOS PRIMERO: El denunciante ha comunicado a esta Agencia que se han realizado accesos injustificados a su historia clínica desde Centros de Salud de Almería cuando el pertenece a un Centro de Salud de Jaén. SEGUNDO: Se ha constatado que con fecha 15 de octubre de 2013, se accedió a la historia clínica del denunciante desde el Centro de Salud Cruz de Caravaca de Almería. Solicitada información al Servicio Andaluz de Salud sobre el motivo de este acceso, se ha informado que no es posible emitir informe al respecto por encontrarse la trabajadora que accedió, de Baja laboral. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. De los hechos probados en este procedimiento, se deduce que el denunciante ha declarado que tiene constancia de que se han producido accesos indebidos a su historia clínica desde diferentes centros de salud de Almería cuando él pertenece a un Centro de Salud de Jaén. El Servicio andaluz de Salud ha informado a la Inspección de esta Agencia respecto del acceso efectuado a la historia clínica del denunciante desde un centro de salud que no es al que él pertenece, que no es posible emitir informe al respecto porque la trabajadora que realizó el acceso, se encontraba de baja laboral. De la información remitida se desprende que la imputada en el presente procedimiento trabaja como Trabajadora Social en el Centro de Salud Cruz de Caravaca de Almería y que el 15 de octubre de 2013 accedió a los datos del denunciante desde el citado centro de salud. La imputada manifiesta que accedió al historial del denunciante en su función de Trabajadora Social del Centro de Salud, motivado por los problemas de los hijos del denunciante, referidos por la madre de los menores al pediatra del Centro de Salud y por denuncias en la línea 900 de maltrato al menor. Que actuó en favor de los derechos de los menores según el protocolo de actuación ante denuncias de maltrato infantil y que accedió para consultar la historia social del denunciante para verificar su domicilio como padre de los menores y su posible filiación. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. III Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que la imputada accedió a los datos contenidos en la historia social del denunciante. El artículo 16 de la Ley de autonomía del paciente expone cual es la finalidad de la historia clínica: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. En este procedimiento se ha acreditado que la imputada, empleada del Servicio Andaluz de Salud, ha accedido a los datos de un paciente que está adscrito a un Centro de Salud distinto al de su puesto de trabajo y ha justificado este acceso como parte del cometido de su puesto como Trabajadora Social del Centro de Salud debido a los problemas detectados en los hijos del denunciante por información de la madre y por comunicaciones de denuncias desde la línea de maltrato al menor. Por otra parte, en el presente caso concurre una situación de controversia entre los progenitores, situación que dispone de una regulación específica en el Código Civil, en particular en lo que se refiere a la patria potestad de los hijos no emancipados, regulada en su artículo 156. A este respecto cabe recordar que en caso de desacuerdo de ambos progenitores sobre el tratamiento de los datos de carácter personal de hijos menores de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 catorce años, esta Agencia no es competente para interpretar las previsiones del Código Civil, por lo que en tales supuestos no tiene capacidad para resolver la discrepancia, que habría de ser planteada ante la sede judicial que corresponda. Es necesario también atender, en un caso como el presente, a la específica legislación de menores y a las recientes modificaciones de la misma. Los cambios introducidos en la Ley Orgánica 1/1996, de Protección Jurídica del Menor por la Ley Orgánica 8/2015, de 22 de julio, desarrollan y refuerzan el derecho del menor a que su interés superior sea prioritario. Sobre este, interés superior del menor, su artículo 2.1 expone: “Todo menor tiene derecho a que su interés superior sea valorado y considerado como primordial en todas las acciones y decisiones que le conciernan, tanto en el ámbito público como privado. En la aplicación de la presente ley y demás normas que le afecten, así como en las medidas concernientes a los menores que adopten las instituciones, públicas o privadas, los Tribunales, o los órganos legislativos primará el interés superior de los mismos sobre cualquier otro interés legítimo que pudiera concurrir. Las limitaciones a la capacidad de obrar de los menores se interpretarán de forma restrictiva y, en todo caso, siempre en el interés superior del menor.” Por otro lado, la Ley Orgánica 1/1996 de 15 de enero de Protección Jurídica del Menor, tras las modificaciones introducidas por la Ley 26/2015, de 28 de julio, en su artículo 22 quáter relativo al tratamiento de datos de carácter personal, su apartado 1 señala: “Para el cumplimiento de las finalidades previstas en el capítulo I del título II de esta ley, las Administraciones Públicas competentes podrán proceder, sin el consentimiento del interesado, a la recogida y tratamiento de los datos que resulten necesarios para valorar la situación del menor, incluyendo tanto los relativos al mismo como los relacionados con su entorno familiar o social. Los profesionales, las Entidades Públicas y privadas y, en general, cualquier persona facilitarán a las Administraciones Públicas los informes y antecedentes sobre los menores, sus progenitores, tutores, guardadores o acogedores, que les sean requeridos por ser necesarios para este fin, sin precisar del consentimiento del afectado”. De esta manera este artículo se configura como una auténtica habilitación legal para el tratamiento de los datos personales necesarios para la valoración de la situación del menor, como resulta ser el caso aquí planteado. Tratándose de la necesaria atención de los supuestos de riesgo y desamparo de menores como a los que se hace ahora referencia, puede considerarse que el tratamiento de los datos del menor y de las personas que configuran su entorno puede resultar necesario para la adecuada valoración de sus circunstancias y la adopción de las medidas que resulten necesarias, en su caso, para atender a su interés superior. De este modo, es posible considerar lícito el mencionado tratamiento. En definitiva en el presente caso se considera que la imputada ha aportado justificación del acceso realizado a los datos personales del denunciante, motivado por su función de Trabajadora Social del Centro de Salud, por lo que se estima que se encuentra entre los supuestos que excepcionan el consentimiento para el tratamiento de los datos personales del denunciante previstos en el apartado 6 del artículo 7 de la LOPD, cuando expone que podrán ser objeto de tratamiento los datos de carácter personal relativos a la salud cuando dicho tratamiento “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 tratamientos médicos o para la gestión de servicios sanitarios”, por ello, se considera que en el presente caso no se aprecia vulneración de la normativa de protección de datos. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- PROCEDER AL ARCHIVO de las presentes actuaciones. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 3.- NOTIFICAR el presente Acuerdo a Dª. A.A.A.. 4.- NOTIFICAR el presente Acuerdo a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es