1/5 Procedimiento Nº: A/00271/2017 RESOLUCIÓN: R/02336/2017 En el procedimiento A/00271/2017, instruido por la Agencia Española de Protección de Datos a Doña C.C.C., vista la denuncia presentada por Don D.D.D., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de diciembre de 2016, tuvo entrada en esta Agencia una denuncia remitida por Don D.D.D., en la que manifiesta que es propietario y responsable de una clínica de Periodoncia e Implantología Oral. En su día, firmó un contrato de acceso de datos por cuenta de terceros con la Dra. Doña C.C.C. Cuando dejó de trabajar en la consulta, se llevó los datos personales de filiación y clínicos de los pacientes sin consentimiento. Los pacientes les están llamando muy molestos porque no entienden que la Dra. C.C.C. les llame a su domicilio para que continúen el tratamiento con ella. Posteriormente, Don D.D.D. aportó copia del contrato firmado con la Dra. C.C.C., de fecha 28 de septiembre de 2011, en el que se hacía constar que al finalizar el trabajo contratado destruiría los datos personales a los que hubiese accedido para realizar su trabajo. También facilitó copia de tres cartas enviadas a tres pacientes de la clínica de Don D.D.D. en el que la Dra. C.C.C. les indicaba que el Dr. D.D.D. había finalizado la relación contractual con ella de forma unilateral, impidiéndola continuar con el tratamiento pendiente en sus instalaciones así como acceder a los datos de contacto. Les rogaba que se pusiesen en contacto con ella. Acompañaba la carta que el abogado de la Dra. C.C.C. había remitido al Dr. D.D.D. pidiéndole que reconsiderase su posición y le dejase finalizar los tratamientos iniciados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Doña C.C.C. informó que los datos personales de que dispone son de pacientes propios que habían contratado con ella un tratamiento de ortodoncia que se desarrollaba en las instalaciones de Don D.D.D.. De las tres personas que han enviado la carta que les recibió, solo una de ellas ha dado por finalizada la relación contractual con ella y ha desistido de continuar su tratamiento, por escrito. Añade que el denunciante confunde los datos a los que ella ha tenido acceso como encargada del tratamiento con los datos que ella tiene de sus pacientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5
- Solicitada información a una de las pacientes cuyas cartas acompañaban a la denuncia, Doña A.A.A., ésta señala que ha sido y es paciente del Dr. D.D.D.. En la consulta le atendían los dos médicos, si bien la Dra. C.C.C. lo hizo muy poco tiempo aplicándole un tratamiento personalizado. Por último, indica que no facilitó su domicilio a la Dra. C.C.C. en ningún momento. TERCERO: Consultada el Registro de ficheros privados de la Agencia Española de Protección de Datos se comprueba que el Dr. D.D.D. tiene cinco fichero inscritos, uno de ellos denominado “Historias Clínicas”. No consta ningún fichero inscrito con el NIF/CIF de la Dra. C.C.C.. CUARTO: Con fecha 27 de julio de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00271/
- Dicho acuerdo fue notificado a la denunciada. QUINTO: Con fecha 17 de agosto de 2017, se recibe en esta Agencia escrito de Doña C.C.C. en el que comunica que ella tuvo un contrato de arrendamiento de industria, realizado en el año 2011, con el Dr. D.D.D., que establecía que le cedía un espacio para atender a sus propios pacientes en el inmueble de su clínica. El Dr. D.D.D. le remitía a alguno de sus pacientes para la aplicación de un tratamiento denominado INVISALGIN, que supone las visitas durante 24 meses, aproximadamente y que es totalmente personalizado. En el año 2012 constituyó una sociedad denominada Centro Dental C.C.C., S.L.P. Esa sociedad inscribió dos ficheros en la Agencia Española de Protección de Datos, uno de ellos referido a la Gestión de pacientes y sus historias clínicas. Las cartas remitidas a los pacientes son enviadas por la mercantil. Acompaña copia de tres facturas abonadas por Doña A.A.A. y Doña B.B.B. a la Clínica de la cual ella es administradora única. No sustrajo datos clínicos de sus propios pacientes ya que estaban en sus ficheros HECHOS PROBADOS PRIMERO: Doña C.C.C. firmó un contrato, en fecha 28 de septiembre de 2011, para la regulación del acceso a los datos por cuenta de terceros, como prestadora de servicios de ortodoncia con Don D.D.D. en el que faculta a la primera al acceso de datos de pacientes del segundo. SEGUNDO: En la estipulación séptima del contrato se indica que cuando finalice la relación contractual, los datos deberán ser destruidos o devueltos al Dr. D.D.D.. TERCERO: En el mes de diciembre de 2016, Centro Dental C.C.C. envió a varios pacientes que había atendido en la Clínica Dental del Dr. D.D.D. una carta indicándoles lo siguiente: “Me dirijo a ti en relación al tratamiento que tienes contratado conmigo y que veníamos desarrollando en la Clínica del Dr. D.D.D. en Santiago de Compostela. Lamentable e incomprensiblemente D. D.D.D. ha decidido romper unilateralmente la relación contractual que tenía conmigo, impidiéndome expresamente continuar con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 tratamiento pendiente en sus instalaciones, así como acceder a tus datos de contacto.” CUARTO: Centro Dental C.C.C., S.L.P., tiene inscritos dos ficheros en el Registro de la Agencia Española de Protección de Datos. Uno de ellos es el de Historias clínicas. QUINTO: Centro Dental C.C.C., S.L.P., emitió, en fecha 31 de octubre de 2017, factura a Doña A.A.A. por la entrada del tratamiento de ortodoncia. SEXTO: Don D.D.D. facturó como cliente a Doña C.C.C., desde diciembre de 2011 hasta enero de 2012, los conceptos: gastos generales de clínica durante el mes y gastos de personal sanitario. A partir de marzo de 2012, la factura la emitía a nombre de Centro Dental C.C.C., S.L.P., añadiendo el concepto: colaboración servicios del mes. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
- g) en relación con el artículo 36 de la LOPD. II El artículo 4.2 de la LOPD, que dispone lo siguiente: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” El principio de calidad que prohíbe utilizar datos para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se contiene en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Asimismo, el apartado 2 del artículo 4 de la LOPD está muy relacionado con el consentimiento regulado en el artículo 6 de la Ley Orgánica mencionada, que ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, consta acreditado que la Dra. C.C.C. mantuvo una relación contractual con el ahora denunciante Dr. D.D.D. para el ejercicio de la profesión de dentista. Si bien el Dr. D.D.D. ha aportado un contrato de prestación de servicios con la denunciada, de las facturas aportadas se deduce que la Dra. C.C.C. tenía sus propios clientes, a los cuales emitía facturas por el trabajo realizado. Asimismo, Centro Dental C.C.C., S.L.P., inscribió un fichero de historias clínicas. Por tanto, al finalizar la relación contractual y laboral que habían mantenido el Dr. D.D.D. y la Dra. C.C.C., esta última remitió una carta a sus pacientes informándoles del problema planteado y ofreciéndoles continuar el tratamiento que tenían contratado con ella, que se venía desarrollando en la Clínica Dr. D.D.D.. Por tanto, la Dra. C.C.C. podía enviar la comunicación a sus pacientes ya que contaba con su consentimiento para el tratamiento de sus datos; de modo que no se considera infringido el citado artículo 6 de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00271/2017) a D. C.C.C. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, al no haberse acreditado la infracción de lo establecido en dicha Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a Doña C.C.C., y a Don D.D.D. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es