A-00412-2016

1/7 Procedimiento Nº: A/00412/2016 RESOLUCIÓN: R/03116/2016 En el procedimiento A/00412/2016, instruido por la Agencia Española de Protección de Datos al A.A.A., vista la denuncia presentada por Dª. D.D.D. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 15 de enero de 2016 tiene entrada en esta Agencia un escrito de Dª. D.D.D. en el que declara que con fecha 21 de diciembre de 2015 se realizó una mamografía en el servicio de mamografía del C.C.C. en el Hospital Nuestra Señora del Rosario de Madrid. En la consulta, aportó dos mamografías anteriores. Con fecha 7 de enero de 2016, al recoger el resultado de la prueba, le informan de que las dos pruebas anteriores que había aportado para realizar el estudio, han sido entregadas por error a otra paciente, quien se ha puesto en contacto con el Servicio para informarles del error. La denunciante aporta con su escrito, copia de la queja que ha interpuesto en el Servicio de Atención al Paciente del Hospital, con fecha 7 de enero de 2016. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 2 de marzo de 2016, el B.B.B., ha remitido a esta Agencia la siguiente información: 1. La relación contractual que mantiene con el Hospital Nuestra Señora del Rosario es únicamente de alquiler del local, siendo suya la responsabilidad de toda la actividad que se presta en el Servicio de Mamografía. 2. Las pruebas que se realizan en su Servicio de Mamografía, alrededor de 100 mamografías, se automatizan e informan en la secretaria del Servicio y se pasan a ensobrar diariamente al equipo de recepción, donde se entregan todos los días. 3. En el caso de la denunciante, los dos sobres que contenían las mamografías anteriores aportadas por la paciente, se adhirieron, por error de una de las trabajadoras de recepción, al informe de la paciente anterior, en lugar de al suyo. 4. La paciente a la que se entregaron, contactó por teléfono en el mismo día y la denunciante a su vez, solicitó su entrega al ver que no estaban junto con su informe. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 5. Se solicitó a la paciente un tiempo para poder recuperar las pruebas, sin embargo formuló una reclamación en el Servicio de Atención al Paciente del Hospital y otra en la Dirección Médica de Sanitas. Aportan copia de la contestación del B.B.B. a ambas reclamaciones, de fechas 14 de enero y 13 de febrero de 2016. 6. Las pruebas que se habían entregado por error a la otra paciente se recogieron en su domicilio por parte de personal de recepción y se ofreció a la denunciante la posibilidad de entregárselas en su domicilio, optando por recogerlas ella misma. 7. Por otra parte, todos los trabajadores implicados en los hechos denunciados, han suscrito los correspondientes documentos de confidencialidad y la propia consulta tiene suscrito un contrato con la empresa NOVOLEX, que realiza una auditoria cada dos años sobre el cumplimiento de la LOPD. TERCERO: Con fecha 4 de noviembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 24 de noviembre de 2016 se recibe en esta Agencia escrito del denunciado en el que comunica: “En orden al apercibimiento que se propone como alternativa, para no acordar la apertura del procedimiento sancionador, se debe de considerar que por el compareciente se ha acreditado la adopción de las medidas correctoras que resultan pertinentes en el presente supuesto, (…) A mayor abundamiento quisiera hacer constar que las pruebas que estuvieron momentáneamente extraviadas lo fueron previamente selladas y cerradas con celo y se mantuvieron así todo el tiempo que estuvieron fuera del circuito correcto, y que tal como se entregaron cerradas, se devolvieron en mano sin abrir a nuestra recepcionista y de ella a la reclamante. Asimismo, después de los hechos y ante la posibilidad de que el error de la señorita recepcionista pudiera deberse a una excesiva carga de trabajo, he añadido una trabajadora más en la puerta a la hora del cierre de pruebas para repartir el trabajo, esperando que esto reduzca la posibilidad de que se pueda repetir en un futuro. Finalmente todo el equipo de recepcionistas ha recibido un cursillo intensivo de formación específica en materia de protección de datos.” HECHOS PROBADOS PRIMERO: La denunciante ha informado de que, con fecha 7 de enero de 2016, al recoger el resultado de una prueba médica en la consulta del C.C.C., le informaron de que las dos pruebas anteriores que había aportado para realizar el estudio, habían sido entregadas por error a otra paciente, quien se había puesto en contacto con el Servicio para informarles del error. La denunciante aporta con su escrito, copia de la queja que ha interpuesto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Servicio de Atención al Paciente del Hospital, con fecha 7 de enero de 2016. SEGUNDO: El A.A.A. ha informado a esta Agencia que por error de una de las trabajadoras de recepción los dos sobres que contenían las pruebas médicas aportadas por la denunciante, se unieron al informe de la paciente anterior, en lugar de al suyo. Que la paciente formuló una reclamación en el Servicio de Atención al Paciente del Hospital y otra en la Dirección Médica de Sanitas. Aporta copia de su respuesta a ambas reclamaciones. Las pruebas se recogieron en el domicilio de la paciente a quien se habían entregado por error y la denunciante las recogió en persona. TERCERO: El doctor informa también de que todos los trabajadores han suscrito los correspondientes documentos de confidencialidad y él tiene un contrato con la empresa NOVOLEX, que realiza una auditoria cada dos años sobre el cumplimiento de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, el A.A.A. entregó a una paciente las pruebas médicas de otra, denunciante en este procedimiento. El doctor ha informado a esta Agencia que, por error de una de las trabajadoras de recepción, los dos sobres que contenían las pruebas médicas aportadas por la denunciante, se unieron al informe de la paciente anterior en lugar de al suyo. Informa de que todos los trabajadores implicados en los hechos denunciados, han suscrito los correspondientes documentos de confidencialidad y que tiene suscrito un contrato con la empresa NOVOLEX, que realiza una auditoria cada dos años sobre el cumplimiento de la LOPD. Notificado el acuerdo de audiencia previa el denunciado ha manifestado que se ha acreditado la adopción de medidas correctoras pertinentes al presente supuesto. Expone que las pruebas se mantuvieron todo el tiempo selladas y cerradas y que así se entregaron en mano a la reclamante. Manifiesta en su escrito por último, que ha añadido una trabajadora más para repartir la carga de trabajo y el equipo de recepcionistas ha recibido un cursillo intensivo de formación en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 En el caso que nos ocupa, el denunciado es responsable del fichero en el que constan los datos de sus clientes, así como de la custodia de la documentación relativa a los mismos. Atendiendo a los hechos del presente procedimiento, se comprueba la existencia de un incumplimiento del deber de secreto, produciéndose una ausencia de confidencialidad, por lo que se considera que se ha cometido una infracción del transcrito artículo 10 de la LOPD. III El artículo 44.3.
2. d)de la LOPD, califica como infracción muy grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, entendemos que por parte del A.A.A. se ha producido una vulneración del deber de secreto que procede calificar como infracción grave. IV En el presente caso ha quedado acreditado que el A.A.A. entregó pruebas médicas con datos personales relativos a la salud de una paciente, a otra. Estos hechos suponen una vulneración del deber de guardar secreto por lo que el denunciado ha incurrido en la infracción grave descrita. El artículo 45.6 de la LOPD, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
3. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la denunciada es una infracción “grave”; que la denunciada no ha sido sancionada o apercibida por este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción consistente en un hecho puntual que no admite corrección ni la adopción de una concreta medida correctora, y vistas las medidas ya adoptadas por el denunciado, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Recordando que la reiteración en conductas como la denunciada constituye un supuesto sobre el que concurren las circunstancias previstas para la aplicación del régimen sancionador contemplado en la LOPD. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00412/2016) las actuaciones practicadas al A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo al A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es