← España

A5-00001-2015

1/10 Procedimiento nº A5/00001/2015 PROCEDIMIENTO DEL ARTÍCULO 5.5 DE LA LOPD RESOLUCIÓN: R/02234/2015 Con fecha 6/04/2015, tuvo entrada una solicitud del INSTITUTO CANARIO DE HEMODONACION Y HEMOTERAPIA (en lo sucesivo ICHH) en la que solicita la exención del deber de información contenido en el artículo 5.5 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). ANTECEDENTES PRIMERO: EL ICHH se creó por Ley 11/1986 de 11/12 como Organismo Autónomo adscrito a la Consejería de Trabajo, Sanidad y Seguridad Social de la Comunidad Autónoma de Canarias. En su artículo 2 se indica que tendrá por objeto el ejercicio de las actividades atribuidas por el Real Decreto 1945/1986 de 9/10 a los Centros Comunitarios de Transfusión, bancos de sangre provinciales o de área y bancos hospitalarios que creados por la Administración de la Comunidad Autónoma de Canarias, le sean atribuidos de acuerdo con lo previsto en el artículo 8.2 del Citado Real Decreto. La Orden Interdepartamental 2/1993 de 28/05, de la Comisión Interdepartamental para la reforma administrativa, crea el Centro Canario de Transfusión y su correspondiente Red transfusional, adscritos al ICHH. El artículo 1 de dicha Orden indica :”Se crea la Red Transfusional de Canarias, adscrita al Instituto Canario de Hemodonación y Hemoterapia, e integrada por todos los Bancos y Depósitos Hospitalarios de Sangre, públicos o privados, debidamente autorizados, radicados en Canarias” En la disposición adicional tercera se indica que se crearán los Bancos de Sangre Provinciales o de Área. Ahora se pretende crear una base de datos ÚNICA a nivel regional en Canarias, denominada HEMOBANCO. De dicha base de datos, los Hospitales Públicos o Privados adheridos o centros debidamente autorizados, podrán consultar en cualquier momento los datos de pacientes que necesiten una transfusión o donación, con la finalidad de saber si han tenido otras transfusiones, características especiales, y las relativas a posibles receptores. Los hospitales o Centros autorizados descargaran en esa base de datos del ICHH los datos médicos que tienen en sus ficheros para tener un histórico de los pacientes con una antigüedad de datos por clínica de en algunos casos, varios años. Además, se añadirá nueva información de los mismos en tiempo real, a partir de su integración en el sistema, contando con un único fichero centralizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Indican que “Solicitar el consentimiento a las decenas de miles de pacientes de los distintos hospitales supone una ardua tarea, larga en el tiempo y costosa, siendo imposible cumplir con el deber de informar de manera individual a cada uno de ellos. De esta manera, cada hospital que se adhiera reflejará en su deber de información según el artículo 5 de la LOPD, la existencia de dicho fichero con el siguiente texto a fin de dar cumplimiento legal: Conforme a la LOPD y normativa de desarrollo, le informamos que los datos personales que nos facilite serán incorporados a un fichero automatizado llamado HEMOBANCO cuyo titular es INSTITUTO CANARIO DE HEMODONACION Y HEMOTERAPIA, con CIF… el cual tiene la consideración de responsable del fichero. A medida de lo presente y en virtud a lo descrito en el artículo 5 de la Ley referenciada, autorizo al responsable del fichero a que introduzca los datos de carácter personal que facilita, cuya finalidad es la gestión integral de las donaciones y transfusiones y poder comunicarnos con usted a través de cualquier medio multicanal. Por otro lado y en virtud por lo dispuesto en el artículo 6 del mismo texto legal, sus datos podrán ser cedidos y tratados en función de la normativa y necesidades legales de la Institución. Se le comunica que podrá ejercitar su derecho de acceso, rectificación, oposición y cancelación al responsable del fichero, adjuntando documento acreditativo, dirigiéndose a la c/ Eusebio Navarro 77, CP 35003 de Las Palmas de Gran Canarias, Las Palmas. Solicitan la exención del deber de información a todos los pacientes que conforman los ficheros de los distintos hospitales que forman parte de la red y los que se adhieran, con la finalidad de poder establecer una base de datos única y centralizada a nivel regional para la creación de la red Transfusional de Canarias. SEGUNDO: Con fecha 13/05/2014, se accede a la aplicación RENO que gestiona la materia de ficheros inscritos, consultándose por el CIF que indica la solicitante. Se obtiene un cuadro tipo Excel con los 7 ficheros con que cuenta la entidad, entre los que figura el denominado: HEMOBANCO, del que se obtiene una impresión de su contenido. Respecto del mismo se destaca: Nombre o Razón social del responsable del fichero INSTITUTO CANARIO DE HEMODONACION Y HEMOTERAPIA Descripción detallada de la finalidad y usos previstos “gestión de las donaciones DE SANGRE” Finalidades: Historial clínico Creado el 06/02/2009, versión 01 Nivel de seguridad alto al poder recabar datos de salud entre otros. No figura la orden de creación del fichero, y su carácter es “privado”. TERCERO: Con fecha 29/05/2015 se remite escrito al ICHH para que concrete algunos términos de su solicitud amplíe datos e informe, con el siguiente literal: 1) La Orden Interdepartamental 2/1993 de 28/05 de la comisión Interdepartamental para la reforma administrativa, por la se crea el Centro Canario de Transfusión y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 su correspondiente Red Transfusional, adscrito al Instituto Canario de Hemodonación y Hemoterapia crea en su disposición 2 la Red Transfusional de Canarias, integrada por todos los Bancos y Depósitos Hospitalarios de Sangre, públicos o privados, debidamente autorizados, radicados en Canarias. En el sistema de gestión de ficheros inscritos que gestiona esta Agencia figura inscrito el fichero “HEMOBANCO” desde 8/02/2009, titularidad del Instituto Canario de Hemodonación y Hemoterapia, descrito con la finalidad de la gestión de las donaciones de sangre y finalidades “historial clínico”. A tal efecto se le solicita que informe en el plazo de diez días: a. Qué tipo de gestión de donaciones y que ámbito abarcan los datos recogidos en dicho fichero hasta la fecha. b. Si este es el fichero en el que se integraran historiales clínicos de los donantes de los Centros que se integraran en la base de datos a crear. Tipo de datos de los que se nutría este fichero (registrado en 2009) hasta la consideración de la creación de una base de datos aglutinante de la suma de base de datos de la Comunidad Autónoma que se tiene proyectada. c. Disposición legal que amparó la creación de este fichero ya existente desde 2009 denominado HEMOBANCO. Disposición legal a efectos de ficheros que ampara la integración de los ficheros de los bancos de Sangre Privados, Públicos o de Hospitales en el nuevo fichero integrado HEMOBANCO. d. Número de Hospitales y Bancos integrar la base de datos a crear. y listado de los que pasarían a e. Copia de modelo de cláusula informativa a efectos de protección de datos que se viene proporcionando a una persona donante de sangre. 2) En relación con su solicitud en su párrafo sexto indican “Obviamente solicitar el consentimiento a las decenas de miles de pacientes de los distintos hospitales, supone una tarea ardua.”. Al respecto se debe señalar que la exención de la información prevista en el artículo 5.5 de la LOPD es distinto de la obtención del consentimiento o consentimiento para ceder los datos. El consentimiento para el caso de tratamiento de datos de salud ha de ser expreso. Para la cesión de datos ha de darse alguno de los presupuestos indicados en el artículo 11 de la LOPD: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:

  1. a)Cuando la cesión está autorizada en una ley.
  2. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  3. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.” Al respecto, se le solicita que precisen la disposición legal que consideran ampara y habilita la cesión de datos de los donantes que dispongan ahora de sus datos bajo la responsabilidad de Hospitales públicos o privados, o Bancos de Sangre, al Instituto Canario de Hemodonación y Hemoterapia. 3) Deberán motivar expresamente las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar. (153 del Reglamento de la LOPD) 4) La cláusula informativa que detallan en su solicitud en el punto sexto es para que los Hospitales que recaben datos a nuevos donantes proporcionen dicha información. Para la solicitud de exención del deber de informar deben incluir la “redacción de una cláusula informativa que, mediante su difusión, en los términos que se indiquen en su solicitud, permita compensar la exención del deber de informar” referida al colectivo de donantes con el que ya cuentan con datos en todos los ficheros que se van a integrar en la base de datos única (clausula, y medio de difusión propuesto). (153 del Reglamento de la LOPD).” Con fecha 5/06/2015 se acredita la recepción del envío, y transcurrido sobradamente el tiempo no se recibe respuesta, señalando que se iba a tramitar la creación del fichero público. A dicho escrito, además se complementaron otra serie de observaciones y peticiones a la parte solicitante como es la identificación, denominación y concreción de los ficheros y sus responsables que se iban a fusionar en el nuevo y la falta de disposición general que crease el fichero. CUARTO: Algunos extremos solicitados como la cláusula informativa que permitan compensar la exención del deber de informar, la motivación expresa de causas que fundamentan la imposibilidad así como la configuración actual del fichero privado HEMOBANCO y las medidas compensatorias que propone realizar en caso de exoneración del cumplimiento del deber de informar resultan imprescindibles para la tramitación del procedimiento. El artículo 153 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); indica:”1. El procedimiento para obtener de la Agencia Española de Protección de Datos la exención del deber de informar al interesado acerca del tratamiento de sus datos de carácter personal cuando resulte imposible o exija esfuerzos desproporcionados, prevista en el apartado 5 del artículo 5 de la LOPD, se iniciará siempre a petición del responsable que pretenda obtener la aplicación de la exención. 2. En el escrito de solicitud, además de los requisitos recogidos en el artículo 70 de la Ley 30/1992, de 26 de noviembre, el responsable deberá:
  4. a)Identificar claramente el tratamiento de datos al que pretende aplicarse la exención del deber de informar.
  5. b)Motivar expresamente las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10
  6. c)Exponer detalladamente las medidas compensatorias que propone realizar en caso de exoneración del cumplimiento del deber de informar.
  7. d)Aportar una cláusula informativa que, mediante su difusión, en los términos que se indiquen en la solicitud, permita compensar la exención del deber de informar. QUINTO: Con fecha 22/07/2015. se le remitió el siguiente escrito al solicitante: “Con fecha 29/05/2015, recibido el 5/06/2015 se le remitió el siguiente escrito solicitando información y documentación o aclarando algunos extremos o de la petición: “Tras una primera lectura de su solicitud se le solicita ampliación de información y datos, debiendo presentar en el plazo de diez días: 2) La Orden Interdepartamental 2/1993 de 28/05 de la comisión Interdepartamental para la reforma administrativa, por la se crea el Centro Canario de Transfusión y su correspondiente Red Transfusional, adscrito al Instituto Canario de Hemodonación y Hemoterapia crea en su disposición 2 la Red Transfusional de Canarias, integrada por todos los Bancos y Depósitos Hospitalarios de Sangre, públicos o privados, debidamente autorizados, radicados en Canarias. En el sistema de gestión de ficheros inscritos que gestiona esta Agencia figura inscrito el fichero “HEMOBANCO” desde 8/02/2009, titularidad del Instituto Canario de Hemodonación y Hemoterapia, descrito con la finalidad de la gestión de las donaciones de sangre y finalidades “historial clínico”. A tal efecto se le solicita que informe en el plazo de diez días: a. Que tipo de gestión de donaciones y que ámbito abarcan los datos recogidos en dicho fichero hasta la fecha. b. Si este es el fichero en el que se integraran historiales clínicos de los donantes de los Centros que se integraran en la base de datos a crear. Tipo de datos de los que se nutría este fichero (registrado en 2009) hasta la consideración de la creación de una base de datos aglutinante de la suma de base de datos de la Comunidad Autónoma que se tiene proyectada. c. Disposición legal que amparó la creación de este fichero ya existente desde 2009 denominado HEMOBANCO. Disposición legal a efectos de ficheros que ampara la integración de los ficheros de los bancos de Sangre Privados, Públicos o de Hospitales en el nuevo fichero integrado HEMOBANCO. d. Número de Hospitales y Bancos integrar la base de datos a crear. y listado de los que pasarían a e. Copia de modelo de cláusula informativa a efectos de protección de datos que se viene proporcionando a una persona donante de sangre. 3) En relación con su solicitud en su párrafo sexto indican “Obviamente solicitar el consentimiento a las decenas de miles de pacientes de los distintos hospitales, supone C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 una tarea ardua.”. Al respecto se debe señalar que la exención de la información prevista en el artículo 5.5 de la LOPD es distinto de la obtención del consentimiento o consentimiento para ceder los datos. El consentimiento para el caso de tratamiento de datos de salud ha de ser expreso. Para la cesión de datos ha de darse alguno de los presupuestos indicados en el artículo 11 de la LOPD: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  8. a)Cuando la cesión está autorizada en una ley.
  9. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  10. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.” Al respecto, se le solicita que precisen la disposición legal que consideran ampara y habilita la cesión de datos de los donantes que dispongan ahora de sus datos bajo la responsabilidad de Hospitales públicos o privados, o Bancos de Sangre, al Instituto Canario de Hemodonación y Hemoterapia. 4) Deberán motivar expresamente las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar. (153 del Reglamento de la LOPD) 5) La cláusula informativa que detallan en su solicitud en el punto sexto es para que los Hospitales que recaben datos a nuevos donantes proporcionen dicha información. Para la solicitud de exención del deber de informar deben incluir la “redacción de una cláusula informativa que, mediante su difusión, en los términos que se indiquen en su solicitud, permita compensar la exención del deber de informar” referida al colectivo de donantes con el que ya cuentan con datos en todos los ficheros que se van a integrar en la base de datos única (clausula, y medio de difusión propuesto). (153 del Reglamento de la LOPD).” Es conocido que el solicitante está en trámite de dictar la disposición general de creación del fichero público HEMOBANCO así como la concreción de otros aspectos. En cuanto a que la solicitud de exención del artículo 5.5 de la LOPD precisa de un contenido imperativo sin el cual no se puede continuar la tramitación del procedimiento, se le advierte que transcurridos diez días sin recibir la documentación e información solicitada, se le tendrá por desistido del procedimiento con la opción de retomar el asunto cuando lo consideren conveniente” Con fecha 31/07/2015 recibió la solicitante el escrito, sin que en el plazo otorgado se recibiera respuesta alguna. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en adelante RLOPD), la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde a la Directora de la Agencia Española de Protección de Datos. II El artículo 153 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), señala: 1. El procedimiento para obtener de la Agencia Española de Protección de Datos la exención del deber de informar al interesado acerca del tratamiento de sus datos de carácter personal cuando resulte imposible o exija esfuerzos desproporcionados, prevista en el apartado 5 del artículo 5 de la LOPD, se iniciará siempre a petición del responsable que pretenda obtener la aplicación de la exención. 2. En el escrito de solicitud, además de los requisitos recogidos en el art. 70 de la Ley 30/1992, de 26/11, el responsable deberá:
  11. a)Identificar claramente el tratamiento de datos al que pretende aplicarse la exención del deber de informar.
  12. b)Motivar expresamente las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar.
  13. c)Exponer detalladamente las medidas compensatorias que propone realizar en caso de exoneración del cumplimiento del deber de informar.
  14. d)Aportar una cláusula informativa que, mediante su difusión, en los términos que se indiquen en la solicitud, permita compensar la exención del deber de informar.” En el presente supuesto no consta información sobre los ficheros de los datos que se iban a fusionar mediante cesión en el nuevo fichero HEMOBANCO, desconociéndose la denominación e incardinación de tales ficheros. Además, el fichero HEMOBANCO está por determinar en cuanto a su futuro contenido al no existir disposición general de creación, elementos que sin más no permitirían continuar el estudio de la exención propuesta, y que deberá ser completado en el futuro. Por otro lado no se aporta una propuesta de clausula informativa ni medidas compensatorias. El artículo 71 de la LRJPAC indica:”Subsanación y mejora de la solicitud” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 1. Si la solicitud de iniciación no reúne los requisitos que señala el artículo anterior y los exigidos, en su caso, por la legislación específica aplicable, se requerirá al interesado para que, en un plazo de diez días, subsane la falta o acompañe los documentos preceptivos, con indicación de que, si así no lo hiciera, se le tendrá por desistido de su petición, previa resolución que deberá ser dictada en los términos previstos en el artículo 42.” Éste artículo prevé que la no satisfacción del requerimiento de la Administración a fin de subsanar una solicitud defectuosa o de aportar documentos necesarios dará lugar a tener al solicitante por desistido. El artículo 42 de la LRJPAC señala “Obligación de resolver” 1. La Administración está obligada a dictar resolución expresa en todos los procedimientos y a notificarla cualquiera que sea su forma de iniciación. En los casos de prescripción, renuncia del derecho, caducidad del procedimiento o desistimiento de la solicitud, así como la desaparición sobrevenida del objeto del procedimiento, la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables.” Al no haber completado la solicitante la documentación imprescindible para el análisis de la tramitación de la exención de la obligación del deber de informar a los afectados, siendo expresamente advertida en el escrito de 22/07/2015 se considera desistido de su petición. Se debe tener en cuenta para una eventual nueva petición, que el ICHH pretende realizar un tratamiento cualificado y nuevo de los datos de salud que obran en distintos centros hospitalarios públicos o privados autorizados (Bancos o depósitos de sangre) mediante la intercomunicación y puesta en común de los ahora existentes en cada uno de ellos en uno solo, centralizando su gestión por parte del ICHH, y con multiacceso al sistema por parte de sus integrantes. Respecto a dicho tratamiento que constituye una cesión de datos producto de la puesta en común de los mismos, y en definitiva una “revelación de datos realizada a una persona distinta del interesado” no se estima suficiente la base normativa de la Orden Interdepartamental 2/1993 que crea la Red Transfusional de Canarias que integra a todos los Bancos y Depósitos Hospitalarios de Sangre públicos o privados, teniendo en cuenta que se trata además de datos de salud. Tampoco la Orden de creación del fichero que refiriese la citada cesión, al ser una norma reglamentaria validaría la excepción de la necesidad de obtención del consentimiento para la cesión de los datos, ya que esta no se contempla en los supuestos del artículo 11 de la LOPD que previene básicamente las modalidades de o el consentimiento del afectado o norma con rango de Ley. Por tanto, la base primigenia para la exención del deber de informar a los afectados de los que ya figuran sus datos de salud en distintos ficheros, y respecto de la cesión de dichos datos, ha de sostenerse en primer lugar en una norma legal con rango suficiente para ello. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar el DESISTIMIENTO de la solicitud de exención de información del artículo 5.5 de la LOPD a los afectados instada por el INSTITUTO CANARIO DE HEMODONACION Y HEMOTERAPIA. SEGUNDO: NOTIFICAR la presente resolución al INSTITUTO CANARIO DE HEMODONACION Y HEMOTERAPIA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, y del 116 del RLOPD, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.