AAPP-00001-2014

1/16 Procedimiento NºAP/00001/2014 RESOLUCIÓN: R/01061/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00001/2014, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIO RIOJANO DE SALUD, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21 de febrero de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que: Con fecha 9 de enero de 2013, acudió al Servicio de Urgencias del Hospital San Pedro donde permaneció ingresado hasta el día 19 de enero. Al ser dado de alta le informaron de que le remitirían el informe médico a su domicilio. Con fecha 21 de febrero de 2013, ha recibido en su domicilio un informe médico que pertenece a otro paciente del hospital. Aporta copia del informe emitido por el Complejo Hospitalario San Millan-San Pedro de La Rioja, que corresponde a otro paciente distinto del denunciante. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 3 de junio de 2013, el SERVICIO RIOJANO DE SALUD ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Han verificado los datos que se ponen de manifiesto en la denuncia comprobando que: a. El denunciante, ingresó en el Hospital San Pedro de Logroño el 9 de enero de 2013, tras acudir al Servicio de Urgencias; posteriormente remitido al Servicio de Cirugía General y de Aparato Digestivo, fue dado de alta hospitalaria en fecha 19 de enero. b. Por su parte, la persona cuyos datos constan en el informe remitido al denunciante, ingresó en el Servicio de Cirugía General y de Aparato Digestivo el 11 de enero de 2013, siendo alta hospitalaria el 17 de enero siguiente. 2. Según el protocolo existente en el Servicio de Cirugía General del Hospital San Pedro de Logroño respecto a la distribución de tareas a realizar en la Secretaría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 del Área de Gestión Clínica de Cirugía General, Digestiva y Plástica para el año 2013, en el que se detalla cómo deben emitirse y remitirse a los pacientes los Informes de alta hospitalaria, se indica: a. El mismo día de producirse un alta hospitalaria, se entrega en mano a cada paciente un informe denominado “Provisional de Alta”, en el que consta, entre otros datos, el motivo del ingreso, los antecedentes patológicos, el diagnóstico, las pruebas realizadas y las recomendaciones, con indicación de la próxima o sucesivas revisiones. b. En el caso denunciado, se entregó en mano a cada uno de los pacientes, tanto al denunciante como al otro paciente, y en los días de sus respectivas fechas de alta hospitalaria, un Informe Provisional de Alta conteniendo los extremos indicados, por lo que ambos abandonaron el Centro hospitalario conociendo perfectamente su proceso y su diagnóstico. c. Posteriormente, se elabora por parte de cada Unidad o Servicio un informe definitivo, denominado “Informe de Alta Hospitalización” que se completa con otros datos del proceso del paciente y es firmado por el facultativo que corresponda como responsable del informe; una copia es remitida por correo ordinario al domicilio del paciente y otra copia se dirige a su médico generalista. Cada paciente está identificado con unas etiquetas en las que consta su nombre, apellidos y dirección postal, etiquetas que se colocan en el sobre que contendrá el informe definitivo que es remitido al domicilio. 3. En relación con los hechos denunciados, es evidente que se ha producido un error humano por el personal administrativo del Servicio de Cirugía y Aparato Digestivo, al introducir en un sobre con los datos de un paciente (el denunciante), el informe de otro, habiendo coincidido ambos en el mismo Servicio y en las mismas fechas. 4. Este error humano, que califican de puntual e involuntario, dado el elevado número de actos de esta naturaleza que se realizan diariamente en el Hospital San Pedro de Logroño y resto de Centros del Servicio Riojano de Salud, es la primera vez que se ha producido un incidente de estas características. No obstante, manifiestan que a la fecha en la que el denunciante recibió el informe de otro paciente en su domicilio, ya era poseedor de su informe provisional, por lo que no se ha producido perjuicio alguno al paciente. 5. Por último, manifiestan que el Hospital ha acordado reiterar las acciones de concienciación en materia de LOPD al personal, en aras a evitar futuros incidentes, habiéndose convocado el Comité de Seguridad de la Información del Sistema Público de Salud de La Rioja (órgano asesor, consultivo y de toma de decisiones en materia de seguridad de la información) para el día 29 de mayo, en cuyo orden del día figura, entre otros, el análisis de la presente denuncia, con el fin de estudiar otras alternativas de envío de informes médicos al procedimiento establecido. TERCERO: Con fecha 28 de enero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO RIOJANO DE SALUD por la presunta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como gravesen los artículos 44.3.

1. h)y 44.3.
2. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el SERVICIO RIOJANO DE SALUD presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “En cuanto a la posible infracción del art. 10 LOPD relativa a la vulneración del secreto profesional el mismo Tribunal Supremo considera que existe imprudencia cuando se desatiende un deber legal de cuidado, si bien el grado de diligencia lo determina en función de las circunstancias concurrentes, de manera que en el presente caso, entendemos que no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se imputa, pues así se ha de entender cuando se trata de un error de envío al domicilio de un paciente el informe de otro, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales de este paciente titular de dicho informe que ni siquiera fue quien lo denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. La cuestión ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional. Quinto. Tal y como hemos señalado anteriormente, se han establecido todos los medios que pueden garantizar la seguridad de los datos, incluso se ha creado un Comité para la seguridad de la información que trata de analizar, estudiar y dar solución a cualquier eventualidad relacionada con la protección de los datos. Se ha revisado el sistema de ensobrado y se han puesto todos los medios para que no vuelva a repetirse en el futuro un caso como el que ahora se cuestiona. Como acertadamente señala la Sentencia de la Audiencia Nacional anteriormente citada, la cual trae a colación otras del Tribunal Supremo y del mismo Tribunal Constitucional, en el ámbito de la protección de datos de carácter personal, para que ese error pueda resultar relevante a efectos punitivos debe ser consecuencia- o estar posibilitado- por la ausencia de previos y adecuados procedimientos de control encaminados a su evitación. Por todo ello, entendemos que sancionar como falta grave la conducta enjuiciada cuando se trata de un error aislado y, se han adoptado las medidas de índole técnica y organizativas adecuados para la seguridad de los datos, se han puesto los medios para que no se vuelva a producir, no se aprecia culpabilidad de funcionario sino mero error material, y en consecuencia no cabe ninguna intención de revelación de secreto, por lo que entenderíamos como contraria al principio de presunción de inocencia y pugnante con la falible dimensión humana.” Concluyen las alegaciones solicitando que se dicte resolución declarando que no existe infracción por parte de ese organismo público. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 QUINTO: Con fecha 26 de febrero de 2014 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección anteel SERVICIO RIOJANO DE SALUD, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01782/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00001/2014 presentadas por el SERVICIO RIOJANO DE SALUD, y la documentación que a ellas acompaña. SEXTO: Con fecha 24 de abril de 2014, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el SERVICIO RIOJANO DE SALUD ha infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, lo que supone infracciones tipificadas como graves en los artículos 44.3.
3. h)y 44.3.
4. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 9.1 y 10 de la mencionada Ley. De acuerdo con lo establecido en el artículo 19.1 del Real Decreto 1398/1993 de 4 de agosto, Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en dicha propuesta de resolución se concedió un plazo de QUINCE DÍAS hábiles para que las partes interesadas en el procedimiento pudieran alegar cuanto considerasen para su defensa y presentasen los documentos e informaciones que estimasen pertinentes, así como se detallaba, en un anexo adjunto a esa propuesta de resolución, la relación de documentos obrantes en el procedimiento, a fin de que las partes interesadas en el procedimiento pudieran obtener copia de los que estimasen convenientes. HECHOS PROBADOS PRIMERO: El denunciante, ingresó en el Servicio de Urgencias del Complejo Hospitalario San Millán-San Pedro de Logroño el 9 de enero de 2013, desde donde fue remitido al Servicio de Cirugía General y de Aparato Digestivo. Se le dio de alta hospitalaria en fecha 19 de enero. Un segundo paciente ingresó en el Servicio de Cirugía General y de Aparato Digestivo del mismo hospital el 11 de enero de 2013, y se le dio de alta hospitalaria el día 17 de enero siguiente. El denunciante recibió en su domicilio un informe médico emitido por el Complejo Hospitalario San Millán-San Pedro de La Rioja, que corresponde a otro paciente. (folios 1 a 4) SEGUNDO: Desde el Servicio Riojano de Salud se ha manifestado que el procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 para la emisión y remisión a los pacientes de los Informes de alta hospitalaria previsto en el protocolo del Servicio de Cirugía General del Hospital San Pedro de Logroño para el año 2013, es el siguiente: - El mismo día del alta hospitalaria, se entrega en mano a cada paciente un informe denominado “Provisional de Alta”, en el que consta, entre otros datos, el motivo del ingreso, los antecedentes patológicos, el diagnóstico, las pruebas realizadas y las recomendaciones, con indicación de la próxima o sucesivas revisiones. - Posteriormente, se elabora por cada Unidad o Servicio un informe definitivo, “Informe de Alta Hospitalización” que se completa con otros datos del proceso del paciente y es firmado por el facultativo que corresponda como responsable del informe; una copia es remitida por correo ordinario al domicilio del paciente y otra copia se dirige a su médico generalista. Cada paciente está identificado con unas etiquetas en las que consta su nombre, apellidos y dirección postal, que se colocan en el sobre que contendrá el informe definitivo que se envía al domicilio. (folios 11 a 12) TERCERO: La entidad denunciada ha manifestado que en relación con los hechos denunciados, es evidente que se ha producido un error humano por el personal administrativo del Servicio de Cirugía y Aparato Digestivo, al introducir en un sobre con los datos de un paciente (el denunciante), el informe de otro, habiendo coincidido ambos en el mismo Servicio y en las mismas fechas. Este error humano, que califican de puntual e involuntario, dado el elevado número de actos de esta naturaleza que se realizan diariamente en el Hospital San Pedro de Logroño y resto de Centros del Servicio Riojano de Salud, es la primera vez que se ha producido. No obstante, manifiestan que a la fecha en la que el denunciante recibió el informe de otro paciente en su domicilio, ya era poseedor de su informe provisional, por lo que no se ha producido perjuicio alguno al paciente. Por último, manifiestan que el Hospital ha acordado reiterar las acciones de concienciación en materia de LOPD al personal, en aras a evitar futuros incidentes, habiéndose convocado el Comité de Seguridad de la Información del Sistema Público de Salud de La Rioja (órgano asesor, consultivo y de toma de decisiones en materia de seguridad de la información) para el día 29 de mayo, en cuyo orden del día figura, entre otros, el análisis de la presente denuncia, con el fin de estudiar otras alternativas de envío de informes médicos al procedimiento establecido. (folios 11 a 12) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 18 .1 y .2, en relación a los “derechos de acceso a la historia clínica”, lo siguiente: “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. En el artículo 17 de la Ley 41/2002, en su apartado 6, referido a la conservación de la historia clínica se determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. Por último, el artículo 19 de la citada Ley 41/200 indica: “Derechos relacionados con la custodia de la historia clínica. El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. III Antes de continuar con el análisis del presente caso, se hace necesario dar respuesta a la alegación efectuada por el Servicio Riojano de Salud con respecto a la ausencia de culpabilidad en su actuación. Esta alegación no puede ser tenida en cuenta, dado que, si bien el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). Hay que tener en cuenta que las exigencias derivadas del principio de culpabilidad se traducen en materia de protección de datos de carácter personal en la necesidad de exigir una especial diligencia a las personas físicas o jurídicas responsables del tratamiento de los mismos, diligencia que en el presente supuesto faltó desde el momento en que se comunicaron a terceros, datos de carácter personal de un paciente sin su consentimiento. El Servicio Riojano de Salud ha alegado que no concurre el elemento de culpabilidad en lo que se refiere al dato esencial de revelar a un tercero los datos personales de este paciente titular de dicho informe que ni siquiera fue quien lo denunció. Respecto de esta cuestión cabe contestar que el Servicio Riojano de Salud no ha acreditado que contara con el consentimiento de su paciente para la comunicación a terceros de los datos relativos a su salud, por lo que no cabe considerar que obrara con la diligencia que le era exigible. IV El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
6. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
7. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
8. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
9. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
10. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
15. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
16. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
17. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
18. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
19. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
20. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
21. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
22. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
23. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. De los hechos probados en este procedimiento, se deduce que el Servicio Riojano de Salud, en su calidad de responsable del tratamiento de los datos de salud contenidos en las historias clínicas de sus pacientes, debió adoptar las medidas necesarias para impedir cualquier acceso a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que el informe de alta de hospitalización de un paciente se envió a otro paciente, denunciante en este procedimiento. Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El artículo 5.1.
24. g)del Reglamento de la LOPD dispone que se entenderá por “datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Alega la entidad denunciada que “sancionar como falta grave la conducta enjuiciada cuando se trata de un error aislado y, se han adoptado las medidas de índole técnica y organizativas adecuados para la seguridad de los datos, se han puesto los medios para que no se vuelva a producir, no se aprecia culpabilidad de funcionario sino mero error material, y en consecuencia no cabe ninguna intención de revelación de secreto…” Tal y como la Audiencia Nacional ha expresado en numerosas Sentencias, no es suficiente con adoptar una serie de medidas para evitar que los datos se pierdan, extravíen o acaben en manos de terceros porque también es necesario velar por su cumplimiento efectivo. La Audiencia Nacional, en sus sentencias de 13 de junio de 2002 y de 7 de febrero de 2003, entre otras, ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva ...”. No hay duda de que la entrega del informe de alta de hospitalización del Hospital San Pedro de Logroño a una persona distinta de la interesada lleva a la conclusión de que las medidas de seguridad no evitaron el acceso de personas no autorizadas a los datos de carácter personal relacionados con la salud. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En definitiva, el Servicio Riojano de Salud no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para impedir el acceso a la información de carácter personal que contenían los documentos, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 El artículo 44.3.
25. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Servicio Riojano de Salud carecía de las medidas de seguridad que la Ley exige al responsable del fichero, al permitir el acceso a terceras personas no autorizadas al informe de alta de hospitalización de un paciente suyo. De acuerdo con los fundamentos anteriores, se deduce que por parte del Servicio Riojano de Salud se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que los datos personales de un paciente fueran facilitados a un tercero no autorizado, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Por otra parte, se observa que por parte del Servicio Riojano de Salud se ha manifestado que el Hospital ha acordado reiterar las acciones de concienciación en materia de LOPD al personal, para evitar futuros incidentes, y se ha convocado el Comité de Seguridad de la Información del Sistema Público de Salud de La Rioja (órgano asesor, consultivo y de toma de decisiones en materia de seguridad de la información) para el día 29 de mayo, y en su orden del día figura, entre otros, el análisis de la presente denuncia, con el fin de estudiar otras alternativas de envío de informes médicos al procedimiento establecido. En el escrito de alegaciones al acuerdo de inicio se vuelve a manifestar que “se han establecido todos los medios que pueden garantizar la seguridad de los datos, incluso se ha creado un Comité para la seguridad de la información que trata de analizar, estudiar y dar solución a cualquier eventualidad relacionada con la protección de los datos. Se ha revisado el sistema de ensobrado y se han puesto todos los medios para que no vuelva a repetirse en el futuro un caso como el que ahora se cuestiona.” VI El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datosde carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11(comunicación de datos). En este caso, ese deber de secreto comporta que el Servicio Riojano de Salud, responsable de las historias clínicas de los pacientes tratados en el, no puede revelar ni dar a conocer su contenido a terceros, salvo con consentimiento expreso de los afectados (al contener los informes de alta de hospitalización, datos de salud especialmente protegidos artículo 7.3 LOPD) o en los casos autorizados por la ley, recordando que el artículo 7.3 señala: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente.” VII La conducta de la entidad denunciada se incardina en el artículo 44.3.
26. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la entidad imputada ha divulgado los datos de salud de un paciente al entregarle el informe de alta de hospitalización a otro paciente, denunciante en este procedimiento. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28/01/1981, ratificado por España en fecha 27/01/1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección, de tal forma que, como indica el citado Convenio, tales datos “no podrán tratarse automatizadamente a menos que el derecho interno prevea garantías adecuadas” El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. Dado que ha existido una vulneración en el deber de secreto por parte del Servicio Riojano de Salud en relación a datos de salud especialmente protegidos, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales especialmente protegidos fuera del ámbito dela entidad denunciada, establece la base de facto para fundamentar la imputación de las infracciones de los artículos 9 y 10 de la LOPD. VIII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO RIOJANO DE SALUD ha infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.h y 44.3.
27. d)de la citada Ley Orgánica. SEGUNDO: Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución al SERVICIO RIOJANO DE SALUD y a D. A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es