AAPP-00013-2015

1/11 Procedimiento Nº AP/00013/2015 RESOLUCIÓN: R/01300/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00013/2015, instruido por la Agencia Española de Protección de Datos a la entidad Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, y en virtud de los siguientes, ANTECEDENTES PRIMERO: En resolución de fecha 14 de noviembre de 2013 relativa al procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00017/2013, el Director de la Agencia Española de Protección de Datos resolvió DECLARAR que el Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil había infringido lo dispuesto en los artículos 5 y 20 de la LOPD, infracciones tipificadas como leve y grave en los artículos 44.2.

1. c)y 44.3.
2. a)respectivamente, de la citada Ley Orgánica. En el mismo acuerdo el Director resolvió REQUERIR al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes las medidas de orden interno que avalen el cumplimiento de lo previsto en los artículos 5 y 20 de la LOPD, en concreto se deberá informar a los pacientes y a los trabajadores de los extremos recogidos en el citado artículo 5 de la LOPD con relación al tratamiento de sus datos personales, y deberá procederse a la publicación de la disposición de creación del fichero de “prevención de riesgos laborales” en el Diario Oficial correspondiente y a su inscripción en el Registro General de Protección de Datos. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD SEGUNDO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación. Con fecha 26 de febrero de 2014, se traslada a la Inspección de Datos de esta Agencia el expediente de investigación iniciado con la finalidad de realizar comprobaciones sobre las medidas requeridas al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, mediante Resolución de fecha 14 de noviembre de 2013, relativa al Procedimiento de declaración de infracción de Administraciones Públicas con referencia AP/00017/2013. Con fecha 1 de abril de 2014, se recibe en esta Agencia escrito del Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, en el que pone de manifiesto que: 1.1. Con relación al deber de Información recogido en el artículo 5 de la LOPD, el Complejo Hospitalario ha procedido a dar cumplimiento al mismo a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 carteles informativos dirigidos a los pacientes y usuarios del Servicio Canario de Salud, situados en las entradas de los Hospitales, Centros de Atención Especializada, Unidades de Salud Mental, así como en lugares estratégicos del Complejo Hospitalario. Asimismo, en la Unidad de Atención al Empleado se ha colocado el correspondiente cartel con la información dirigida a los trabajadores del Centro. Se adjunta copia de los citados carteles. 1.2. Se ha creado un grupo de trabajo multidisciplinar, integrado por personal adscrito al Servicio de Calidad, de Informática, de Enfermería, de Servicios Generales y Asesoría Jurídica, al objeto de hacer un seguimiento del cumplimiento de la LOPD. 1.3. Con relación a la inscripción del archivo de Prevención de Riesgos Laborales, toda vez que dicha Unidad depende jerárquicamente de la Secretaría General Técnica de la Consejería de Sanidad, la cual ha transmitido que se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero conforme a lo establecido en el Decreto 5/2006, de 27 de enero, por el que se regulan los ficheros de datos de carácter personal de la Administración Pública de la Comunidad Autónoma de Canarias, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado a esta Agencia. Se adjunta documentación correspondiente. Con fecha 16 de diciembre de 2014 el Defensor del Pueblo solicitó a esta Agencia información sobre la falta de inscripción del fichero del Servicio de Prevención de Riesgos Laborales del Complejo Hospitalario Materno Insular de Canarias. Con fecha 9 de enero de 2015 se reiteró el requerimiento realizado en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00017/2013 al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, concediendo un plazo de 7 días para la remisión de información actualizada respecto de la publicación e inscripción del fichero de datos personales del Servicio de Prevención de Riesgos Laborales de ese organismo, en cumplimiento de lo previsto en el artículo 20 de la LOPD. Con fecha 2 de febrero de 2015 se recibe en el Registro de esta Agencia escrito de fecha 26 de enero de 2015 del Director Gerente del citado Complejo Hospitalario en el que se expone que, visto el nuevo requerimiento se dio traslado a la Secretaría General Técnica que ha comunicado lo siguiente: “Dentro de la tramitación han surgido demoras en las emisiones de informes solicitados al respecto, habiéndose tenido que reiterar las solicitudes de emisión de los mismos. Actualmente se está pendiente del informe de la Secretaría General del Servicio Canario de la Salud para subsanación del documento de seguridad según las observaciones realizadas al mismo por la Dirección General de Telecomunicaciones y Nuevas Tecnologías, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado, tanto a ese Complejo como a la Agencia”. De la información remitida se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 14 de noviembre de 2013, por el Director de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 TERCERO: Con fecha 19 de febrero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL por la presunta infracción del artículo 37.1.
3. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
4. i)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el Secretario General Técnico de la Consejería de Sanidad del Gobierno de Canarias presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “En el presente caso, no existe un incumplimiento sino un retraso justificado en el cumplimiento del requerimiento. Tal como se comunicó en marzo de 2014, a la vista del criterio de la Agencia sobre la necesidad de la inscripción del fichero de prevención de riesgos, no obstante estar protegida la historia clínica y el personal, del que se nutre dicho fichero con la más alta protección que aporta la legislación al respecto, y nada más recibir la resolución se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero, conforme al procedimiento legalmente establecido a tal fin mediante el Decreto 5/2006, de 27 de enero, por el que se regulan los ficheros de datos de carácter personal de la Administración Pública de la Comunidad Autónoma de Canarias. (…) La previsión de publicación se ha retrasado derivado, por una parte, de la complejidad de la norma a aprobar, no tanto del proyecto de Orden en sí, sencillo, sino del documento de seguridad que preceptivamente ha de acompañar al proyecto de Orden. En este documento de Seguridad se ha emitido informe, por la Dirección General de Telecomunicaciones y N.T. en el cual se realizan observaciones relativas a que han de ser 7 ficheros y especialmente, señala respecto a los archivos informatizados la necesidad de que en el documento de seguridad que acompaña al proyecto de Orden conste lo establecido en el art. 88 del Reglamento que desarrolla la Ley de Protección de Datos y otros requisitos previstos normativamente. (…) Conforme se ha señalado a dicho documento de seguridad por el órgano competente se han hecho una serie de observaciones que requieren su subsanación, que han de ser informadas por otros órganos ajenos a esta Secretaría General Técnica, para continuar su tramitación con el resto de informes preceptivos, y por otra parte en el retraso también influye la singularidad de la estructura del Servicio de Prevención de Riesgos Laborales, del cual dependen funcionalmente, a efectos de su coordinación, las Unidades de Prevención de los Hospitales y Gerencias, pero orgánicamente dependiente en este caso del hospital o gerencia en que haya sido creado, conforme a lo establecido en el Decreto Territorial 168/2009, de 29 de diciembre (BOC 8-2-2010) correspondiéndole en este caso la dotación personal y material de las citadas unidades. (…) Finalmente señalar que el informe requerido para la subsanación del documento de seguridad fue remitido por la Secretaria General del Servicio Canario de Salud, a esta Secretaría General Técnica el 6 de marzo del presente año, por lo que procede corregir el documento de seguridad atendiendo a sus observaciones y proseguir con su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 tramitación, recabando informe de la Inspección General de Servicios, de la D.G. del Servicio Jurídico y, finalmente de esta SGT para su posterior aprobación por Orden, esperando tener publicada la misma en el plazo más breve posible”. Concluye el escrito de alegaciones solicitando que se dicte resolución por la que ordene el Archivo de estas actuaciones, por no ser los hechos constitutivos de ilícito alguno, o en su caso, la suspensión del procedimiento hasta la efectiva publicación en el BOC de la Orden de referencia. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el Director Gerente del COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL presentó escrito de alegaciones en el que, en síntesis, manifiesta que: Como ya se expuso en el procedimiento AP/00017/2013, la Unidad de Prevención de Riesgos Laborales del Complejo Hospitalario Universitario InsularMaterno Infantil depende de la Secretaría Técnica de la Consejería de Sanidad por lo que se adjuntan las alegaciones formuladas el 9 de marzo por el Secretario General Técnico de la Consejería de Sanidad. Que a la vista de las consideraciones expuestas respecto del presunto incumplimiento, se debe entender que no existe tal sino un retraso en la publicación e inscripción del citado fichero dada la complejidad del procedimiento a llevar a cabo. Concluye su escrito solicitando que se proponga la declaración de no existencia de infracción o responsabilidad y se dicte resolución por la que se ordene el archivo de las actuaciones. SEXTO: Con fecha 12 de marzo de 2015 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios los documentos obtenidos y generados por los Servicios de Inspección ante el SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00013/2015 presentadas por el SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL, y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 12 de mayo de 2015, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL ha infringido lo dispuesto en el artículo 37.1.
5. f)de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
6. i)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 37.1.
7. f)de la mencionada Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 OCTAVO: Notificada la propuesta de resolución, el Director Gerente del Complejo Hospitalario Insular Materno Infantil realizó alegaciones frente a la misma en las que comunica: “En relación a lo requerido en su Propuesta de Resolución de 12 de mayo de 2015, sobre la adopción de medidas internas, como se recoge en el punto segundo de la misma, me complace enviarles el documento de seguridad de los archivos físicos de la unidad de prevención de riesgos laborales, se adjunta copia, que se elaboró a raíz de la inspección llevada a cabo por las Inspectoras de esa Institución, (…) el 04 de marzo de 2013. Dado que con dicho documento de seguridad y, del acta de inspección elevada por la mencionadas inspectoras, consideramos que se ha cumplido con lo requerido a los efectos de tomar las medidas internas necesarias, por parte del Complejo Hospitalario, para no cometer la infracción que se establece en el artículo 44.3.
8. i)de la LOPD. De igual forma se le comunica que el resto de gestiones como dar de alta el fichero de prevención de riesgos laborales, es competencia de la Secretaria General Técnica del Servicio Canario de la Salud, con la cual se deberán de realizar las sucesivas gestiones. En cuanto al expediente de referencia, se solicita a la AEPD, que se adopte la medida cautelar de suspensión del mismo, respecto al Complejo Hospitalario dado que ha procedido a la adopción de las medidas de orden interno a los efectos solicitados.” HECHOS PROBADOS PRIMERO: En resolución de fecha 14 de noviembre de 2013 relativa al procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00017/2013, el Director de la Agencia Española de Protección de Datos resolvió DECLARAR que el Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil había infringido lo dispuesto en los artículos 5 y 20 de la LOPD, infracciones tipificadas como leve y grave en los artículos 44.2.
9. c)y 44.3.
10. a)respectivamente, de la citada Ley Orgánica. SEGUNDO: En el mismo acuerdo el Director resolvió REQUERIR al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acreditase en el plazo de un mes las medidas de orden interno que avalen el cumplimiento de lo previsto en los artículos 5 y 20 de la LOPD, en concreto se debía informar a los pacientes y a los trabajadores de los extremos recogidos en el citado artículo 5 de la LOPD con relación al tratamiento de sus datos personales, y debía procederse a la publicación de la disposición de creación del fichero de “Prevención de Riesgos Laborales” en el Diario Oficial correspondiente y a su inscripción en el Registro General de Protección de Datos. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 TERCERO: Con fecha 1 de abril de 2014, se recibe en esta Agencia escrito del Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, en el que pone de manifiesto que: Con relación al deber de Información recogido en el artículo 5 de la LOPD, se han instalado carteles informativos dirigidos a los pacientes y usuarios del Servicio Canario de Salud, situados en las entradas de los Hospitales, Centros de Atención Especializada, Unidades de Salud Mental, así como en lugares estratégicos del Complejo Hospitalario. Asimismo, en la Unidad de Atención al Empleado se ha colocado el correspondiente cartel con la información dirigida a los trabajadores del Centro. Se adjunta copia de los citados carteles. Se ha creado un grupo de trabajo multidisciplinar al objeto de hacer un seguimiento del cumplimiento de la LOPD. Con relación a la inscripción del archivo de Prevención de Riesgos Laborales, toda vez que dicha Unidad depende jerárquicamente de la Secretaría General Técnica de la Consejería de Sanidad, la cual ha transmitido que se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado a esta Agencia. Se adjunta documentación correspondiente. CUARTO: Con fecha 16 de diciembre de 2014 el Defensor del Pueblo solicitó a esta Agencia información sobre la falta de inscripción del fichero del Servicio de Prevención de Riesgos Laborales del Complejo Hospitalario Universitario Insular Materno Infantil de Canarias. Con fecha 9 de enero de 2015 se reiteró el requerimiento realizado en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00017/2013 al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, respecto de la publicación e inscripción del fichero de datos personales del Servicio de Prevención de Riesgos Laborales de ese organismo, en cumplimiento de lo previsto en el artículo 20 de la LOPD. Con fecha 2 de febrero de 2015 se recibe en el Registro de esta Agencia escrito de fecha 26 de enero de 2015 del Director Gerente del citado Complejo Hospitalario en el que se expone que, visto el nuevo requerimiento se dio traslado a la Secretaría General Técnica que ha comunicado que: “Dentro de la tramitación han surgido demoras en las emisiones de informes solicitados al respecto, habiéndose tenido que reiterar las solicitudes de emisión de los mismos. Actualmente se está pendiente del informe de la Secretaría General del Servicio Canario de la Salud para subsanación del documento de seguridad según las observaciones realizadas al mismo por la Dirección General de Telecomunicaciones y Nuevas Tecnologías, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado, tanto a ese Complejo como a la Agencia”. QUINTO: De la información remitida se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 requerimiento efectuado en la resolución de 14 de noviembre de 2013, por el Director de la Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
12. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
13. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento de declaración de infracción ha quedado acreditado que con fecha 14 de noviembre de 2013 el Director de la Agencia Española de Protección de Datos resolvió DECLARAR que el Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, había infringido lo dispuesto en los artículos 5.1 y 20.1 de la LOPD, con relación a la denuncia por la falta de información a pacientes y trabajadores de los extremos recogidos en el artículo 5 de la LOPD con relación al tratamiento de sus datos personales, y por la falta de la publicación de la disposición de creación del fichero de “Prevención de Riesgos Laborales” en el Diario Oficial correspondiente y a su inscripción en el Registro General de Protección de Datos. En el mismo acuerdo el Director resolvió REQUERIR al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acreditase en el plazo de un mes las medidas de orden interno que avalen el cumplimiento de lo previsto en los artículos 5 y 20 de la LOPD, en concreto se debía informar a los pacientes y a los trabajadores de los extremos recogidos en el citado artículo 5 de la LOPD con relación al tratamiento de sus datos personales, y debía procederse a la publicación de la disposición de creación del fichero de “Prevención de Riesgos Laborales” en el Diario Oficial correspondiente y a su inscripción en el Registro General de Protección de Datos. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD Con fecha 1 de abril de 2014, se recibe en esta Agencia escrito del Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, en el que pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Con relación al deber de Información recogido en el artículo 5 de la LOPD, se han instalado carteles informativos dirigidos a los pacientes y usuarios del Servicio Canario de Salud, situados en las entradas de los Hospitales, Centros de Atención Especializada, Unidades de Salud Mental, así como en lugares estratégicos del Complejo Hospitalario. Asimismo, en la Unidad de Atención al Empleado se ha colocado el correspondiente cartel con la información dirigida a los trabajadores del Centro. Se adjunta copia de los citados carteles. Se ha creado un grupo de trabajo multidisciplinar al objeto de hacer un seguimiento del cumplimiento de la LOPD. Con relación a la inscripción del archivo de Prevención de Riesgos Laborales, toda vez que dicha Unidad depende jerárquicamente de la Secretaría General Técnica de la Consejería de Sanidad, la cual ha transmitido que se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado a esta Agencia. Se adjunta documentación correspondiente. Con fecha 16 de diciembre de 2014 el Defensor del Pueblo solicitó a esta Agencia información sobre la falta de inscripción del fichero del Servicio de Prevención de Riesgos Laborales del Complejo Hospitalario Universitario Insular Materno Infantil de Canarias. Con fecha 9 de enero de 2015 se reiteró el requerimiento realizado en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00017/2013 al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, respecto de la publicación e inscripción del fichero de datos personales del Servicio de Prevención de Riesgos Laborales de ese organismo, en cumplimiento de lo previsto en el artículo 20 de la LOPD. Con fecha 2 de febrero de 2015 se recibe en el Registro de esta Agencia escrito de fecha 26 de enero de 2015 del Director Gerente del citado Complejo Hospitalario en el que se expone que, visto el nuevo requerimiento se dio traslado a la Secretaría General Técnica que ha comunicado que: “Dentro de la tramitación han surgido demoras en las emisiones de informes solicitados al respecto, habiéndose tenido que reiterar las solicitudes de emisión de los mismos. Actualmente se está pendiente del informe de la Secretaría General del Servicio Canario de la Salud para subsanación del documento de seguridad según las observaciones realizadas al mismo por la Dirección General de Telecomunicaciones y Nuevas Tecnologías, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado, tanto a ese Complejo como a la Agencia”. De la información remitida se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 14 de noviembre de 2013, por el Director de la Agencia Española de Protección de Datos. Una vez iniciado el presente procedimiento de declaración de infracción, con fecha 18 de marzo de 2015 tienen entrada en esta Agencia sendos escritos del Director Gerente del Complejo Hospitalario y del Secretario General Técnico de la Consejería de Sanidad del Gobierno de Canarias en los que exponen que “no existe un incumplimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 sino un retraso justificado en el cumplimiento del requerimiento. Tal como se comunicó en marzo de 2014, a la vista del criterio de la Agencia sobre la necesidad de la inscripción del fichero de prevención de riesgos, no obstante estar protegida la historia clínica y el personal, del que se nutre dicho fichero con la más alta protección que aporta la legislación al respecto, y nada más recibir la resolución se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero”. Se expone en estos escritos la complejidad del procedimiento a llevar a cabo para la inscripción del fichero dada la necesidad de informes de varios centros y la necesidad de subsanación del documento de seguridad para incluir, entre otras cosas, un informe para cada uno de los hospitales afectados, los sistemas informáticos, aplicaciones, etc. A pesar de los problemas existentes para la publicación e inscripción del fichero en cuestión, el Secretario General Técnico de la Consejería de Sanidad del Gobierno de Canarias manifiesta que la historia clínica del personal, del que se nutre dicho fichero se encuentra con la más alta protección que aporta la legislación al respecto. En respuesta a la propuesta de resolución de este procedimiento de declaración de infracción, el Director Gerente del Complejo Hospitalario presentó un escrito en el que envía el “Documento de seguridad del archivo físico de la Unidad de prevención de riesgos laborales del CHUIMI” y comunica que el resto de gestiones como dar de alta el fichero de prevención de riesgos laborales, es competencia de la Secretaría General Técnica del Servicio Canario de la Salud. En el presente procedimiento se imputa la falta de atención a un requerimiento del Director de esta Agencia Española de Protección de Datos efectuado al responsable del fichero y del tratamiento, al que se declaró una infracción y se requirió la adopción de medidas correctoras que impidieran que la infracción declarada siguiera cometiéndose. Una vez transcurrido ampliamente el plazo concedido para la adopción de medidas y para su comunicación a esta Agencia, no consta que se hayan adoptado las medidas correctoras solicitadas respecto del cumplimiento del artículo 20 de la LOPD sobre el fichero de Prevención de Riesgos Laborales del Complejo Hospitalario denunciado. En la resolución del procedimiento de referencia AP/00017/2013 se concedió un plazo de un mes para el cumplimiento de las medidas que impidieran que se produjeran nuevas infracciones como las declaradas. En dicho plazo no se atendió el requerimiento respecto del artículo 20 de la LOPD ni se solicitó prórroga alguna del plazo. En esta ocasión es evidente la existencia de, al menos, una falta de diligencia plenamente atribuible a la entidad imputada por la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos. Del contenido de estas actuaciones previas de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 14 de noviembre de 2013, del Director de la Agencia Española de Protección de Datos. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 El artículo 44.3.
14. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que no se atendió el requerimiento efectuado en la resolución de declaración de infracción notificada a la entidad imputada. IV Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil ha infringido lo dispuesto en el artículo 37.1.
15. f)de la LOPD, tipificada como grave en el artículo 44.3.
16. i)de la citada Ley Orgánica. SEGUNDO: REQUERIR al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 37.1.
17. f)de la LOPD, para lo que se abre expediente de actuaciones previas E/04294/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 En concreto se solicita que envíe a esta Agencia constancia de la publicación de la disposición de creación del fichero de “Prevención de Riesgos Laborales” en el Diario Oficial correspondiente y de su inscripción en el Registro General de Protección de Datos. TERCERO: NOTIFICAR la presente resolución al Servicio Canario de Salud-Complejo Hospitalario Insular Materno Infantil. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es