1/7 Procedimiento Nº: A/00296/2015 RESOLUCIÓN: R/00977/2016 En el procedimiento A/00296/2015, instruido por la Agencia Española de Protección de Datos a Dª. A.A.A., vista la denuncia presentada por Dª. B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 3 de febrero de 2015 tiene entrada en esta Agencia un escrito de Dª. B.B.B. en el que declara que fue contratada para el cuidado geriátrico de una persona mayor y dependiente, tras pasar proceso de selección inicia su trabajo el 1 de enero de 2015. Pero al acudir a su puesto de trabajo el día 2 por la tarde, la contratante, médico de profesión, le indica que se marche, ya que ha consultado su historial médico y ha visto que estaba en tratamiento por depresión. Según indica la reclamante, Dª. A.A.A., valiéndose de su profesión médica, ha accedido sin autorización y sin motivo médico, al historial de la denunciante, resultando un despido improcedente además del gravísimo perjuicio personal causado. Aporta copia de los accesos a su historial médico en el Departamento de Salud del Gobierno de Navarra verificándose que en fecha 2 de enero de 2015, Dª. A.A.A. ha accedido a la historia y la analítica de la reclamante constando en el registro “accesos demográficos sin lista de trabajo”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El Departamento de Salud del Gobierno de Navarra aporta un escrito, remitido por Dª. A.A.A., en el que manifiesta que tras entrevistarse con la reclamante, Dª. B.B.B. la contrató como empleada para cuidar a su madre que no tiene ninguna movilidad ni habla, y que es portadora de una sonda nasogástrica para alimentación y de sondaje urinario. A partir del momento en que firmaron el contrato de trabajo, observó en la Sra. B.B.B. "cosas extrañas" (temblores, falta de visión,...) que le hicieron sospechar que podía tener problemas de salud, o que tomaba psicofármacos. Dña. A.A.A. manifiesta que preguntó a Dª. B.B.B. si tenía algún problema de salud y le respondió que sí había tenido problemas de salud, pero que en ese momento con el tratamiento ya estaba bien. Además la Sra. C.C.C., como sabía que Dª. A.A.A. es médico (puesto que se lo dijo para que no se preocupara de tener que cambiar el sondaje urinario de su madre), le dijo que si quería lo podía comprobar en su historial médico dando su autorización verbal. Al día siguiente, 2-1-2015, consultó el historial médico de la Sra. B.B.B. y no le pareció C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 que fuera la persona más adecuada para cuidar a su madre, por lo que prescindió de sus servicios ese mismo día, sin que ella pusiera en ese momento objeción alguna. Además, según manifiesta Dª. A.A.A., Dª. B.B.B. le ha intentado "chantajear" a cambio de no presentar denuncia ante la Agencia Española de Protección de Datos. Según informan los representantes del Departamento de Salud del Gobierno de Navarra no se ha recibido ninguna reclamación por parte de Dª. B.B.B. en relación con el acceso indebido a su historial por parte de Dª. A.A.A.. TERCERO: Con fecha 11 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00296/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 13 de enero de 2016, se recibe en esta Agencia escrito de la denunciada en el que comunica: “1.- No procede que se me haga apercibimiento alguno va que no he cometido infracción alguna de la LOPD. Y ello porque tal como manifesté en su día y ha venido a reconocer con sus actos Dª B.B.B., ésta me dio autorización verbal para mirar su historial médico. Así lo demuestra el hecho de que Dª B.B.B. no haya “impugnado” como “despido nulo” que yo, tras ver su historial médico, decidí en base al mismo “prescindir de sus servicios” como empleada de mi madre, y en nombre de ésta así se lo comuniqué el día 2-1-2015. En efecto; si yo hubiera accedido al historial médico de Dª B.B.B. sin autorización de la misma, en primer lugar, lógicamente, no se lo hubiera dicho (es obvio y de sentido común). Pero es que a mayor abundamiento, si yo hubiera accedido al historial médico de Dª B.B.B. sin autorización de la misma, y además la hubiera “despedido” como empleada de mi madre tras ese “acceso ilegal” a su historial médico y en base a éste, lo lógico es que Dª B.B.B. hubiera impugnado ese despido calificándolo de despido nulo por haberse vulnerado para el mismo su derecho fundamental a la intimidad; y resulta que Dª B.B.B. no ha interpuesto demanda alguna contra mi madre o contra mí impugnando dicho despido ante la jurisdicción social. Me remito en prueba de ello al Decanato de los Juzgados de lo Social de Pamplona. Por lo que procede tener por probada mediante presunción dicha autorización verbal, dado que entre los hechos demostrados a partir de los cuales me baso para esa presunción (que yo, tras ver el historial médico de Dª B.B.B., decidí en base a dicho historial “prescindir de sus servicios” como empleada de mi madre, y en nombre de ésta así se lo comuniqué el día 2-1-2015; y que la Sra. B.B.B. no ha Impugnado dicho despido), y los hechos que se pretenden demostrar mediante esa presunción (que Dª B.B.B. me dio autorización verbal para ver su historial médico), hay un “enlace preciso y directo según las reglas del criterio humano”, tal como exige la normativa y jurisprudencia que regula las presunciones.” Concluye el escrito solicitando que se tengan por efectuadas las alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 HECHOS PROBADOS PRIMERO: Se ha presentado escrito en esta Agencia en el que se expone que Dª. A.A.A., valiéndose de su profesión médica, ha accedido sin autorización y sin motivo médico, a la historia clínica de la denunciante, y lo ha utilizado para su despido. La denunciante aporta con su escrito, la relación de los accesos a su historial médico del Departamento de Salud del Gobierno de Navarra entre los que figura el realizado el día 2 de enero de 2015 por Dª. A.A.A. quien accede a la historia y la analítica de la reclamante constando en el registro, como justificación del mismo, “accesos demográficos sin lista de trabajo”. SEGUNDO: Solicitada información respecto de lo denunciado al Departamento de Salud del Gobierno de Navarra, aporta un escrito remitido por Dª. A.A.A. en el que expone que contrató a la denunciante como empleada para cuidar a su madre. Que la denunciante manifestó que había tenido problemas de salud, pero que ya estaba bien y que como sabía que Dª. A.A.A. es médico, le dijo que si quería lo podía comprobar en su historial médico dando su autorización verbal. Continúa manifestando la denunciada que el 2 de enero de 2015, consultó el historial médico de la denunciante y no le pareció que fuera la persona más adecuada para cuidar a su madre, por lo que prescindió de sus servicios ese mismo día. TERCERO: No consta acreditado en el expediente que la imputada en este procedimiento contara con el consentimiento para el tratamiento de los datos personales relacionados con la salud de Dª B.B.B. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” Por otra parte, el artículo 17 de la misma Ley, dedicado por completo a la conservación de la documentación clínica, establece en su punto primero que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial” y en su apartado 6 determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD incorporo al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. En los hechos de este procedimiento, consta probado que la denunciante es usuaria del sistema público de salud del Departamento de Salud del Gobierno de Navarra y que tuvo conocimiento del acceso realizado por parte de una profesional que no tiene encomendada su asistencia sanitaria. La LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.1 y 2 de la LOPD, señala lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El artículo 4.2 prohíbe que los datos puedan usarse para una finalidad incompatible con aquella para la que fueron recogidos. En este caso la finalidad de los datos personales contenidos en la historia clínica de los pacientes es la de la asistencia sanitaria de los mismos, y el Departamento de Salud del Gobierno de Navarra ha informado de que el acceso realizados por la médico que no es el titular del cuidado sanitario de la denunciante, no tienen justificación clínico asistencial. V El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de la Departamento de Salud del Gobierno de Navarra se ha podido incurrir en una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que los datos personales de una paciente pertenecientes a su historia clínica, fueran objeto de acceso por parte de un profesional que carece de justificación clínico asistencial. Con el objeto de delimitar, en su caso, las posibles responsabilidades de esta infracción por parte del Departamento de Salud mencionado, se procede a iniciar nuevas actuaciones, E/02911/2016, archivando este procedimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el presente apercibimiento (A/00296/2015) tramitado contra Dª. A.A.A., al no ser la responsable de tener incorporadas las medidas de seguridad adecuadas que impidiesen accesos injustificados a la historia clínica de pacientes dependientes del Departamento de Salud del Gobierno de Navarra, iniciando las Actuaciones Previas de Investigación E/02911/2016. 2.- NOTIFICAR el presente Acuerdo a Dª. A.A.A.. 3.- NOTIFICAR el presente Acuerdo a Dª. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es