1/7 Procedimiento Nº: A/00242/2015 RESOLUCIÓN: R/03350/2015 En el procedimiento A/00242/2015, instruido por la Agencia Española de Protección de Datos a Dª. A.A.A., vista la denuncia presentada por D. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de mayo de 2015, tiene entrada en esta Agencia un escrito de D. B.B.B., en el que denuncia que, varias personas, han accedido a su Historia Clínica desde diferentes Centros de Salud, sin justificación, entre estas personas se encontraba su exmujer, la cual es enfermera del Servicio Andaluz de Salud, el resto de personas que han accedido parecer ser que pertenecen todas al entorno de la misma. Adjunta listado de accesos, desde diferentes Centros de Almería, No obstante él pertenece al Centro de Salud San Felipe de Jaén. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Examinado el listado de accesos remitido por el denunciante, se comprueba que la mayoría de ellos, en caso de ser accesos injustificados, la infracción estaría prescrita. No obstante, se procede a la investigación de los accesos realizados por Dª. A.A.A. con fecha 15/10/2013, desde el Centro de Salud Cruz de Caravaca de Almería. Con fecha 10 de julio de 2015, se recibe en esta Agencia escrito del Servicio Andaluz de Salud, Consejería de Igualdad, Salud y Políticas Sociales, con el que adjunta un escrito del Director de dicho Centro de Salud, en el que manifiesta que: 1.1. Adjunta escrito de Dña. A.A.A. con relación a estos hechos. 1.2. Dña. A.A.A. manifiesta en su escrito, que como Pediatra de los hijos del denunciante, y atendiendo a una petición de información, vía telefónica, por parte del denunciante sobre sus hijos, se procedió, junto con el Asistente Social, al acceso a su historia a fin de comprobar antecedentes familiares, para una mejor atención a los menores, dado que se encontraban en el marco de una separación conflictiva. TERCERO: Con fecha 9 de octubre de 2015, la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00242/2015. Dicho acuerdo fue notificado al denunciante y a la denunciada. CUARTO: Notificado el acuerdo de audiencia previa se recibe en esta Agencia escrito de la denunciada en el que comunica: Que el acceso a la historia clínica del denunciante se realizó como Pediatra de sus hijos, de acuerdo con la Trabajadora Social del Centro de Salud y para una mejor atención médica. Que en contacto con la Trabajadora Social del Centro de Salud ante una situación familiar conflictiva que afectaba a uno de los menores se decidió acceder a la historia clínica del denunciante para recoger datos que pudieran aclarar el problema del menor. Que el denunciante intentó en varias ocasiones obtener información sobre la salud de sus hijos, mientras que la madre planteó los problemas psicológicos que presentaban e indicó que no se podía dar información de los menores al padre sin presentar documentos que avalasen la situación legal. Que se actuó buscando el beneficio de los menores. HECHOS PROBADOS PRIMERO: El denunciante ha comunicado a esta Agencia que se han realizado accesos injustificados a su historia clínica desde Centros de Salud de Almería cuando él pertenece a un Centro de Salud de Jaén. SEGUNDO: Se ha constatado que con fecha 15 de octubre de 2013, la imputada accedió a la historia clínica del denunciante desde el Centro de Salud Cruz de Caravaca de Almería. Solicitada información al Servicio Andaluz de Salud sobre el motivo de este acceso, se remite escrito de la doctora que accedió quien manifiesta que, como pediatra de los hijos del denunciante, se procedió, junto con el Asistente Social, al acceso a su historia para comprobar antecedentes familiares, para una mejor atención a los menores, que se encontraban en el marco de una separación conflictiva. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. De los hechos probados en este procedimiento, se deduce que el denunciante ha declarado que tiene constancia de que se han producido accesos indebidos a su historia clínica desde diferentes centros de salud de Almería cuando él pertenece a un Centro de Salud de Jaén. El Servicio andaluz de Salud ha enviado a la Inspección de Datos de esta Agencia un escrito de la imputada en este procedimiento, respecto del acceso efectuado a la historia clínica del denunciante desde un centro de salud que no es al que él pertenece. De la información remitida se desprende que la imputada en el presente procedimiento trabaja como Pediatra en el Centro de Salud Cruz de Caravaca de Almería y que el 15 de octubre de 2013 accedió a los datos del denunciante desde el citado centro de salud. La imputada manifiesta que accedió al historial del denunciante en su función de Pediatra de sus hijos, junto con la Trabajadora Social del Centro de Salud ante una situación familiar conflictiva que afectaba a uno de los menores, se decidió acceder a la historia clínica del denunciante para recoger datos que pudieran aclarar el problema del menor. Que el denunciante intentó en varias ocasiones obtener información sobre la salud de sus hijos, mientras que la madre planteó los problemas psicológicos que presentaban e indicó que no se podía dar información de los menores al padre sin presentar documentos que avalasen la situación legal. Que se actuó buscando el beneficio de los menores. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. III Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que la imputada accedió a los datos contenidos en la historia clínica del denunciante. El artículo 16 de la Ley de autonomía del paciente expone cual es la finalidad de la historia clínica: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. En este procedimiento se ha acreditado que la imputada, empleada del Servicio Andaluz de Salud, ha accedido a los datos de un paciente que está adscrito a un Centro de Salud distinto al de su puesto de trabajo y ha justificado este acceso como parte del cometido de su puesto como Pediatra del Centro de Salud y ante una situación familiar conflictiva que afectaba a uno de los menores, hijo del denunciante, se accedió a la historia clínica de este para recoger datos que pudieran aclarar el problema del menor. Por otra parte, se observa que en el presente caso concurre una situación de controversia entre los progenitores, situación que dispone de una regulación específica en el Código Civil, en particular en lo que se refiere a la patria potestad de los hijos no emancipados, regulada en su artículo 156. A este respecto cabe recordar que en caso de desacuerdo de ambos progenitores sobre el tratamiento de los datos de carácter personal de hijos menores de catorce años, esta Agencia no es competente para interpretar las previsiones del Código Civil, por lo que en tales supuestos no tiene capacidad para resolver la discrepancia, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 habría de ser planteada ante la sede judicial que corresponda. Es necesario también atender, en un caso como el presente, a la específica legislación de menores y a las recientes modificaciones de la misma. Los cambios introducidos en la Ley Orgánica 1/1996, de Protección Jurídica del Menor por la Ley Orgánica 8/2015, de 22 de julio, desarrollan y refuerzan el derecho del menor a que su interés superior sea prioritario. Sobre este, interés superior del menor, su artículo 2.1 expone: “Todo menor tiene derecho a que su interés superior sea valorado y considerado como primordial en todas las acciones y decisiones que le conciernan, tanto en el ámbito público como privado. En la aplicación de la presente ley y demás normas que le afecten, así como en las medidas concernientes a los menores que adopten las instituciones, públicas o privadas, los Tribunales, o los órganos legislativos primará el interés superior de los mismos sobre cualquier otro interés legítimo que pudiera concurrir. Las limitaciones a la capacidad de obrar de los menores se interpretarán de forma restrictiva y, en todo caso, siempre en el interés superior del menor.” Por otro lado, la Ley Orgánica 1/1996 de 15 de enero de Protección Jurídica del Menor, tras las modificaciones introducidas por la Ley 26/2015, de 28 de julio, en su artículo 22 quáter relativo al tratamiento de datos de carácter personal, su apartado 1 señala: “Para el cumplimiento de las finalidades previstas en el capítulo I del título II de esta ley, las Administraciones Públicas competentes podrán proceder, sin el consentimiento del interesado, a la recogida y tratamiento de los datos que resulten necesarios para valorar la situación del menor, incluyendo tanto los relativos al mismo como los relacionados con su entorno familiar o social. Los profesionales, las Entidades Públicas y privadas y, en general, cualquier persona facilitarán a las Administraciones Públicas los informes y antecedentes sobre los menores, sus progenitores, tutores, guardadores o acogedores, que les sean requeridos por ser necesarios para este fin, sin precisar del consentimiento del afectado”. De esta manera este artículo se configura como una auténtica habilitación legal para el tratamiento de los datos personales necesarios para la valoración de la situación del menor, como resulta ser el caso aquí planteado. Tratándose de la necesaria atención de los supuestos de riesgo y desamparo de menores como a los que se hace ahora referencia, puede considerarse que el tratamiento de los datos del menor y de las personas que configuran su entorno puede resultar necesario para la adecuada valoración de sus circunstancias y la adopción de las medidas que resulten necesarias, en su caso, para atender a su interés superior. De este modo, es posible considerar lícito el mencionado tratamiento. En definitiva en el presente caso se considera que la imputada ha aportado justificación del acceso realizado a los datos personales del denunciante, motivado por su función de Pediatra del Centro de Salud, por lo que se estima que se encuentra entre los supuestos que excepcionan el consentimiento para el tratamiento de los datos personales del denunciante previstos en el apartado 6 del artículo 7 de la LOPD, cuando expone que podrán ser objeto de tratamiento los datos de carácter personal relativos a la salud cuando dicho tratamiento “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”, por ello, se considera que en el presente caso no se aprecia vulneración de la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- PROCEDER AL ARCHIVO de las presentes actuaciones. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a Dª. A.A.A.. 3.- NOTIFICAR el presente Acuerdo a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es