1/17 Procedimiento Nº AP/00013/2016 RESOLUCIÓN: R/02647/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00013/2016, instruido por la Agencia Española de Protección de Datos a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, SACYL, constan los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22/01/2016 la Directora de la Agencia Española de Protección de Datos insta a la Subdirección General de Protección de Datos que inicie de oficio actuaciones previas de investigación encaminadas a acreditar la veracidad de las noticias publicadas en prensa referentes a la pérdida de imágenes médicas radiológicas en el Complejo Asistencial de Ávila, Hospital Ntra. Sra. de Sonsoles, en Avda. Juan Carlos I, s/n de Ávila. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: A) Con fecha 3/02/2016 se lleva a cabo visita de Inspección por la Agencia Española de Protección de Datos, al Complejo Asistencial de Ávila, Hospital Nuestra Señora de Sonsoles. Los representantes del Complejo Asistencial de Ávila y de la Gerencia Regional de Salud de la Consejería de Salud de Castilla-León han realizado las siguientes manifestaciones:
- El fichero que contiene imágenes médicas está declarado en el Registro General de Protección de Datos constando como responsable del mismo el Complejo Asistencial de Ávila, siendo el encargado del tratamiento la Gerencia Regional de Salud que depende de la Consejería de Salud. En la práctica todas las instrucciones y decisiones sobre los tratamientos que se realizan sobre este fichero, así como los medios informáticos provienen de la Gerencia Regional de Salud. A pesar de las manifestaciones anteriores se ha constatado que, en el DOCUMENTO DE SEGURIDAD correspondiente al fichero de imágenes médicas, se especifica que el responsable del fichero es el DIRECTOR GERENTE DEL COMPLEJO ASISTENCIAL DE ÁVILA y el encargado del tratamiento es el Responsable de los Sistemas de Información del Complejo Asistencial de Ávila. Se aporta copia parcial de “documento de seguridad” del Complejo Asistencial, pagina 6 epígrafe 6 y 7 en documento
- La Gerencia Regional de Salud ha iniciado hace dos años un proyecto para la migración de todo el sistema de información, pasando de un modelo distribuido, en el que cada hospital tiene su propio sistema, a un modelo centralizado en grandes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Centros de Proceso de Datos ubicados en Valladolid y León. Hasta la fecha se ha migrado con éxito las aplicaciones de personal, anticoagulados y anatomía patológica.
- Las imágenes clínicas están en proceso de migración pero debido al gran volumen de información que suponen se está realizando por fases. En la actualidad reside en los sistemas centrales todas las imágenes médicas realizadas desde el año 2006 hasta los últimos 3 meses. Para ello se realiza una copia diaria de las imágenes que corresponde centralizar. El volumen de información que se centraliza diariamente es de unos 40 Gbytes. Las imágenes con antigüedad inferior a 3 meses se almacenan en local en el ordenador situado en el Complejo Asistencial de Ávila, denominado SISTEMA PRIMARIO. En este sistema de información residen en la actualidad 22 Tbytes de información, parte de los cuales corresponden a imágenes médicas.
- Hasta el 26/10/2015, día en que se detectó la pérdida de imágenes médicas, la responsabilidad de la administración del Sistema Primario recaía, de forma compartida, en la Gerencia Regional de Salud y el Complejo Hospitalario de Ávila si bien el personal de informática de esta última entidad no disponía de los privilegios de administración para realizar copias de seguridad. Las copias de seguridad se realizaban con anterioridad a que el sistema primario finalizara su vida útil (hace aproximadamente dos años) por medio de IRE, entidad externa subcontratada por la GERENCIA REGIONAL DE SALUD. Al producirse la obsolescencia tecnológica comenzó un periodo de migración a otra tecnología dentro del mismo sistema primario que realiza la entidad EMC
- IRE debía haber continuado realizando las copias de seguridad, pero por causas desconocidas dejó de hacerlas. En el contrato suscrito consta que las actividades incluidas son “soporte presencial, soporte remoto y mantenimiento” no figura de forma expresa la obligatoriedad de realizar estas copias de seguridad. La vida útil del sistema primario finalizó aproximadamente hace dos años pero la garantía se extendió un año más dejando de tener servicio de atención de alertas. Esta prolongación del mantenimiento del sistema primario se realizó con el objetivo de tener tiempo para finalizar la migración a los sistemas centrales. En el informe de la incidencia que se emite el 26/10/2015 se detalla que “desde emc2 nos indican que al no haber soporte (según parece desde hace dos años) el acuerdo de la empresa con SACYL, es que emc2, pasa presupuesto y una vez aceptado por el hospital se resuelve la avería, este procedimiento no garantiza la resolución de averías en tiempos de respuesta adecuados”. Además de no realizarse copias de seguridad, a partir de que el sistema primario finalizó su vida útil y fue descatalogado, dejaron también de hacerse actividades de soporte por lo que no se monitorizó correctamente el sistema. Debido a diversos fallos, los discos del sistema primario, que están configurados para funcionar de forma redundante (sistema RAID), dejaron de funcionar sin que se detectara, siendo asumida toda la carga de trabajo por el resto de discos del sistema hasta que los fallos acumulados provocaron la pérdida de imágenes médicas.
- El día 25/10/2015 los servicios médicos detectan que no pueden acceder a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 imágenes médicas. Como consecuencia de ello, el Servicio de Informática del Complejo Asistencial de Ávila detecta que desde el 26/08/2015, 5 de los 30 discos del sistema primario fallan y no están funcionando, habiendo perdido la capacidad de almacenar y acceder a las imágenes médicas que residen en el Sistema Primario correspondientes a los últimos 3 meses (agosto, septiembre y hasta el 25 de octubre)
- Las copias de seguridad de las imágenes médicas del sistema primario se deben realizar desde los sistemas centrales de la Gerencia Regional de Salud por medio de la entidad contratada al efecto. El personal de informática del Complejo Hospitalario de Ávila carecía de claves y autorización para realizarlas. El Director de Sistemas de Información de la Gerencia Regional de Salud manifiesta que estas copias de seguridad se realizaban en los discos redundantes del sistema primario. Los representantes del Complejo Hospitalario de Ávila aportan copia del Procedimiento de Copias de Seguridad actualizado a febrero de 2016, en éste se aprecia que se describe que “las copias de las imágenes son gestionadas desde Gerencia Regional”.
- Al detectar la incidencia en el servidor primario, el personal de informática del Complejo Hospitalario de Ávila realizó las siguientes actuaciones: Se estabilizó el sistema y se informó a la Gerencia Regional de Salud. Se realizó una valoración inicial de la pérdida de información, resultando afectados 37.993 pacientes. A la vista de esta documentación, el Director Técnico de Sistemas de Información indica que un estudio de la empresa de mantenimiento de la aplicación de radiología estima que el número de pacientes afectados en el hospital es de unos 15.
- Se contrató a una entidad especializada en recuperación de información de discos duros dañados denominada KROLL ONTRACK. En una primera fase se cambiaron los circuitos electrónicos de los discos, pero al no funcionar se retiraron del sistema y se intentó una recuperación en la sede de la empresa. No obstante, al estar uno de los cinco discos dañado físicamente, no ha sido posible recuperar la mayor parte de la información. Está pendiente una última fase para extraer 19 discos del sistema e intentar recuperar la mayor cantidad posible de imágenes médicas. Todas estas actuaciones se han realizado con el conocimiento y autorización de la Gerencia Regional de Salud previo documento de confidencialidad suscrito con la entidad.
- Según un informe interno, el rango de fechas afectadas por la pérdida es del 1/07/2015 al 26/10/
- En este informe se recoge cada uno de los servicios afectados, la incidencia que en cada uno de ellos ha tenido la pérdida de imágenes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 y lo que ha podido recuperarse. Se confirma la valoración inicial de pérdida de información de tres meses que afecta a 37.993 pacientes y se expone cuáles han sido las causas del problema y las soluciones a adoptar.
- Los inspectores solicitan el Registro de Incidencias, manifestando que al no estar resuelta no ha sido aún incorporada. Declaran que aportan un informe del Jefe del Servicio de Informatica del Complejo Asistencial de Ávila que remitió a la Directora Gerente del Complejo, fechado el 26/10/2015 que en resumen indican: a. “Ha habido varios fallos simultáneos en el equipo de almacenamiento de imágenes médicas” que ha afectado a las imágenes realizadas a los pacientes en las últimas semanas. b. El fallo se ha producido por un fallo físico en la máquina que da soporte al almacenamiento primario ocasionada por el fallo cumulado de 5 discos, algunos de estos discos vienen dando fallos desde el 26/
- c. El informe contiene un correo electrónico también de 26/10/2015 que da cuenta de la avería de los discos, titulado “Problemas XXXXX AVILA”. d. El informe indica “Esta avería ha comprometido las imágenes las imágenes del radiodiagnóstico realizadas en el hospital los últimos 3 meses, además de condicionar el almacenamiento de las pruebas diarias al tener limitado el almacenamiento local a 100 GB (al día se generen 20 GB de Imágenes)”
- Las medidas correctoras implementadas para evitar pérdidas de datos en el futuro han sido las siguientes: Se ha solicitado a la Gerencia Regional de Salud autorización para suscribir directamente un contrato de mantenimiento que ha sido formalizado en fecha 26/11 por el Complejo Asistencial de Salud con la entidad SUMATRA BUSINESS. Se han solicitado contraseñas y privilegios de acceso al sistema primario para realizar diariamente la revisión de alertas. Desde la Gerencia se han dado instrucciones a la empresa de mantenimiento para que realice una copia de seguridad de las imágenes médicas diariamente en los sistemas centralizados. Se ha solicitado que la empresa de mantenimiento active un sistema de aviso por correo electrónico de todas las alertas que se produzcan en el sistema primario. Informaron a los médicos, por medio de la Intranet, de la pérdida de imágenes para que solicitaran su repetición si lo consideran oportuno, habiéndose repetido hasta la fecha tan solo 16 resonancias magnéticas. Se realizó una copia de las imágenes almacenadas en local en los diferentes equipos médicos, en los que, dependiendo del modelo, conservaban las imágenes realizadas en el último mes y medio. Los representantes de la entidad aportan copia del informe de la última auditoría de protección de datos realizada en mayo de 2014 en el que no se contiene ninguna mención a la copia de soportes ni al respaldo de información ni mantenimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 sistema de copias de datos. En la inspección llevada a cabo en el Hospital, se requiere la aportación de la copia del contrato suscrito con IRE para la gestión del sistema primario. TERCERO: Con fecha 8/02/2016 se incorpora a las actuaciones de inspección el contrato suscrito con IRE solicitado en el acta de inspección de 3/02/
- El contrato aparece denominado “Tipo de servicio”, tiene como objeto: “Servicio de mantenimiento de licencias y soporte de sistemas de información de los servicios de radiología IRE, RAYOS X instalados en diversos complejos Asistenciales de la Gerencia Regional de Castilla y León, figurando como adjudicatario “IRE SAYOS X, SA), plazo de ejecución 1 año desde 1/01/
- Aparece suscrito por el Director Gerente de la Gerencia Regional de Salud de C. y L.. Destaca en el contenido del mismo. Al contrato se acompaña el “pliego de prescripciones técnicas” folios 85 y7 ss. En cuantía del contrato se desglosa para los años 2015 y 2016 en concepto “Mantenimiento” y concepto “Soporte”, si bien la duración el mismo está prevista por un año pudiendo prorrogarse por mutuo acuerdo de las partes. Se contiene una cláusula de cumplimiento de protección de datos que remite al pliego de cláusulas administrativas particulares (PCAP). En el PCAP se relaciona la historia clínica electrónica con los soportes informáticos en que se recoge la información asistencial que permite el acceso a los datos e imágenes desde diversos puntos entre los que se incluye el Complejo Asistencial de Ávila. En el objeto del contrato se indica que se incluyen gestión de almacenamiento de imágenes y el visualizador de imágenes radiológicas. En las aplicaciones radiológicas se incluye el sistema de información del servicio de radiología RIS, IRE, INFO CHANNEL, y sistema de archivado de imágenes radiológicas. También se incluye mantenimiento de productos de software. Se asigna a la Gerencia Regional la posibilidad de ejercer de modo continuo la inspección y vigilancia del servicio contratado.
(91)En el apartado gestión de incidencias se indica que se abrirán por el GRS. Se contiene también la copia de un escrito, NOTA INTERIOR, de la Gerencia Regional de Salud que envía a una Dirección General de Gestión de la Información y proyectos un escrito que indica la prórroga de los contratos relativo a los expedientes que se relacionan, entre los que figura
- a)Prorroga del servicio de mantenimiento de licencias y soportes de sistemas de información de servicios de radiología instalados en los Complejos Asistenciales de la GR C y L.
- b)Se aporta copia de un acuerdo de 18/09/2015 entre GRS y la entidad IRE RAYOS X SA en la que explican que el 31/12/2015 finaliza el contrato con dicha empresa para la prestación de servicio de mantenimiento de licencias y soportes de los sistemas de información de los servicios de radiológica instalados en diversos complejos hospitalarios, iniciándose el expediente de prorroga el 27/08/2015. El plazo de la prorroga es hasta 31/12/2016. CUARTO: Con fecha 25/04/2016, la Directora de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, SACYL, por una infracción del artículo 9.1 de la LOPD, en relación con los artículo 90, 94, 100 y 102 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); tipificada como grave en el artículo 44.3.
- h)de dicha LOPD. QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 23/05/2016 la denunciada alega: 1) Sobre la seguridad de las imágenes y los motivos que dan lugar a la apertura del procedimiento precisa que no se ha vulnerado el artículo 94 y 102 del RLOPD; referidos a las copias de respaldo y recuperación indican que disponen de un procedimiento “automatizado de gestión de ciclo de vida de los ficheros de imagen clínica implementado en toda su red hospitalaria que consiste en usar un sistema temporal de almacenamiento y un sistema de archivado definitivo replicado-con dos copia de cada imagen, una en el CPD corporativo de Leon y otra en el CPD de Valladolid, y diario. “Este sistema de réplica diaria es tecnológicamente más avanzado que el tradicional de copia de seguridad y recuperación. Tampoco se necesita de privilegios de administración para realizar copias de seguridad, al tener las imágenes duplicadas.” El artículo 94 se refiere a copia semanal, este sistema es copia diaria. Afirmando que el hecho se la perdida de las imágenes radiológicas producido fue un HECHO AISLADO, resultado de circunstancias ajenas al sistema corporativo establecido. En los centros e instituciones sanitarios de la Gerencia. 2) Explica que las circunstancias que determinan la pérdida inicial de imágenes en el Complejo Asistencial de Ávila fue responsabilidad de la empresa contratada. El técnico de IRE RAYOS X asignado desactiva, -se ignora el motivo- el envío de imágenes del almacenamiento temporal de primer nivel- al archivado definitivo-sistema replicado diario durante el proceso de migración de imágenes necesario para la sustitución de los equipos. Por dicho motivo se ha iniciado un el 8/02/2016 procedimiento de petición de responsabilidad a dicha empresa (354 y ss.). Aportan copia de dicho inicio en el que se contiene que como funciones de la empresa contratada figura la de “realizar cambios en las configuraciones o adecuaciones de las instalaciones según criterio de los responsables del servicio en cada centro. En al año 2013 se renueva la infraestructura de almacenamiento de segundo nivel, el archivado de la imagen radiológica, y se inicia un proceso de migración de la información de radiología digital archivada. En el marco de este plan de migración, el técnico de IRE RAYOS X que presta el soporte presencial en el complejo asistencia de Ávila cambia la configuración del sistema de gestión de imagen radiológica IRE PACS y deja desconectado el archivado definitivo de imagen radiológica desde el disco temporal de almacenamiento de primer nivel por lo cual las imágenes generadas por los equipos de radiología no se archivan definitivamente en el sistema de segundo nivel y definitivo “El sistema de archivado definitivo-almacenamiento de segundo nivel se compone de dos sistemas de alta capacidad ubicados en los dos centros de procesos de datos ubicados en Leon y Valladolid en los cuales se guarda de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 forma indefinida dos copias de todas las imágenes radiológicas que se han generado digitalmente desde el inicio de la radiología digital en la GRE 26/10/2015 el disco temporal de almacenamiento de primer nivel que tiene una capacidad de 2,9 TBytes y aproximadamente tres meses de imágenes por causas ajenas a IRE RAYOS X se avería perdiéndose su contenido. Las imágenes temporales de los 3 meses anteriores no se han enviado al archivado definitivo debido al error del técnico de soporte y por lo tanto se pierden”. Añade que las alertas luminosas rojas que avisan de fallos en los discos de almacenamiento no fueron vistas por los responsables del sistema de información del propio centro Asistencial durante el periodo que va de julio a octubre de 2015. “Estos discos se utilizan mientras se revisan las imágenes antes de enviarlas al almacenamiento secundario y definitivo, este envío se hace en 4 o 5 días y se mantienen durante 3 meses aproximadamente para que el acceso sea más rápido. Si el fallo hubiera sido exclusivamente de los discos sin estar desactivada la réplica de imágenes que realizó el técnico de la empresa IRE, la perdida de imágenes hubiera afectado solo a la radiología convencional de 4-5 días.” 3) En cuanto al registro de incidencias, desde 2007 se dispone de un plan regional de adecuación a la LOPD para Hospitales, que resulta de obligado cumplimiento. El propio Complejo Asistencial de Ávila tiene un plan de adecuación a la LOPD, aportan documento 5. Entre los distintos documentos del Plan figura un apartado denominado “Gestión de incidencias” que se enmarca como “Documento de seguridad del Complejo Asistencial de Ávila.” De su lectura se infiere que se trata de incidencia en cualquier fichero, entendida como integridad, disponibilidad y confidencialidad. Este “libro de incidencias” estará a disposición de todos los usuarios y administradores del fichero, con el fin de que registren en el cualquier incidencia que pueda suponer un peligro para la seguridad del mismo. Se han de reflejar intentos de accesos no autorizados, cuentas de usuarios bloqueadas por intentos fallidos, recuperación de datos, precisando además que “cualquier usuario que tenga conocimiento de una incidencia es responsable del registro de la misma en el Libro de Incidencias, o en su caso comunicación por escrito al responsable de seguridad o al responsable del fichero. Aportan además ejemplar de “Procedimiento de notificación y gestión de incidencias” del citado Complejo, folios 359 y ss. enmarcado como “Documento de seguridad del Complejo Asistencial de Ávila” En el mismo se refiere a la implantación de un registro de incidencias común para todos los ficheros de SACYL registrados en la AEPD. Se indica que “los responsables del fichero serán los encargados de mantener actualizado el Registro de incidencias”, y que “Igualmente serán los responsables de conceder las autorizaciones para la recuperación de ficheros”, para a continuación indicar que “La persona designada para recoger todas las incidencias en el Registro será la el responsable de seguridad”. Nada se indica de que la incidencia deba anotarse tras resolverse la misma o conocerse o se finalice el proceso de recuperación de datos. Concluye que la falta de anotación en el registro es solo atribuible a un “error del funcionamiento del personal técnico.” SEXTO: Con fecha 20/06/2016 se acuerda cambio de Instructor por ausencia del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 inicialmente designado. SEPTIMO: Con fecha 20/09/2016 se accede a la aplicación que gestiona en la AEPD la inscripción de ficheros, incorporando la impresión del fichero “ARCHIVO IMÁGENES DIGITALES” inscrito desde 24/07/2007. Figura como órgano responsable y encuadramiento orgánico, el Complejo Asistencial de Ávila, dependiente de la GERENCIA REGIONAL DE SALUD, de la CONSEJERIA DE SANIDAD, creado por Orden SAN/784/2007 de 18/04, BO de 2/05/2007. En descripción detallada figura “Almacenamiento de imágenes digitales producidas por los servicios médicos”, conteniendo datos de salud con nivel se seguridad alto. No figura entidad alguna en el apartado de encargado de tratamiento. OCTAVO: Con fecha 23/09/2016 se formuló la propuesta de resolución del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se declare la infracción del artículo 9.1 de la LOPD por la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, SACYL, tipificada como grave en el artículo 44.3.
- h)de la LOPD. SEGUNDO: La denunciada deberá informar resumidamente sobre las medidas adoptadas para prevenir que en el futuro se vuelva a producir una infracción como la analizada, relacionando la toma de acciones con el resultado que a su juicio derivan.” Frente a la propuesta, con fecha 20/10/2016 se reciben alegaciones en las que reitera las manifestadas, y añade: 1) El responsable de la infracción no es la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, SACYL, sino la GERENCIA REGIONAL DE SALUD, organismo autónomo adscrito a la Consejería y de acuerdo con la normativa actúa con personalidad jurídica propia aunque figure adscrita a la correspondiente Consejería. Así, la Consejería no puede ser objeto de sanción administrativa. 2) El artículo 90 del RLOPD no prevé el tiempo en el que se ha de anotar en el documento de seguridad de los ficheros la incidencia, y en todo caso la responsabilidad sería de la persona que debía anotar la incidencia ya que existía un procedimiento reglado preestablecido. Frente a esta alegación de individualización de la responsabilidad en las personas, será la denunciada la que habrá de tomar la correspondiente resolución, si bien a efectos de protección de datos, el responsable es el responsable del fichero, tal como prevé el artículo 43 de la LOPD. 3) Las copias de las imágenes clínicas en toda la red hospitalaria se realiza con una copia automatizada definitiva, diaria y duplicada, que crea una réplica de datos en los centros de Leon y Valladolid y un sistema temporal de almacenamiento que agiliza el acceso a las imágenes. Indica que pese al deterioro de los discos detectado en agosto 2015, durante este periodo de almacenamiento temporal las imágenes pudieron ser vistas no dándose la falta de acceso sino en una fecha concreta, el 25/10/2015. No indica si coexisten ambos sistemas en la actualidad motivado por el rápido acceso a las imágenes o si hay un decalaje de guardado en las imágenes de tres meses que solo se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 hallan en el sistema temporal y no permanecen en el archivo definitivo. 4) En el presente caso coincidió la finalización de la vida útil del equipo que efectuaba las copias en el sistema primario con la migración de datos. Lo que se produjo fue una desactivación del traspaso de datos del sistema primario o almacenamiento temporal al archivado definitivo-replicado diario-, indicando que de este proceso es responsable la persona técnica de la entidad con la que tienen contratado el servicio. Indica que en otros Hospitales también se han roto los discos duros si bien como se había hecho la copia de réplica al sistema diario no se produjo perdida alguna. No obstante, se desvela que el fallo de copia no se ha comprobado no solo diariamente, sino semanalmente o mensualmente, pues los datos perdidos son de un periodo dilatado de más de dos meses, sin que tuviera establecida ninguna medida adicional para la comprobación de dicha verificación de copia periódicamente. 5) Como medidas tomadas, además de las ya reseñadas en el procedimiento las siguientes: a. Formación a responsables de tratamiento que tiendan a minimizar el error humano en el tratamiento de datos, y para los técnicos de servicios de informatica y comunicaciones sobre mejora y cumplimiento de la LOPD en Sanidad. b. Modificación del protocolo del registro de incidencias para que se realice anotación expresa en el registro de incidencias del documento de seguridad en el momento en que se produzca la notificación de la misma y anotaciones cronológicas sobre la evolución de las medidas correctoras adoptadas. c. Por la GR se ha establecido un protocolo de revisión manual del sistema de radiología digital después de cada actuación manual que pueda modificar la configuración del sistema para ser realizado por los responsables de los Complejos Asistenciales y de la Gerencia Regional de Salud para comprobar que los cambios se han realizado adecuadamente. d. Se ha establecido un procedimiento semanal dual de revisión de las réplicas para ser ejecutado por los responsables del tratamiento en los Complejos Asistenciales y por parte de las empresas contratadas que intervienen en el soporte y mantenimiento de los sistemas de radiología digital HECHOS PROBADOS 1) Ante la aparición el 21/01/2016 de noticias en prensa referidas a perdida de pruebas diagnósticas, más en concreto, pruebas radiológicas en el Complejo Asistencial de Ávila debido a fallo informático y falta de copia de seguridad, la Directora de la AEPD ordenó el 22/01/2016 la iniciación de investigaciones para esclarecer los hechos. (1 a 3). 2) En La Gerencia Regional de Salud de Castilla y Leon (GR) se integran los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 centros, servicios y establecimientos sanitarios de la Comunidad Autónoma y constituye el órgano competente para la administración y gestión de servicios, prestaciones y programas sanitarios de la Administración de la Comunidad de Castilla y León. En la inscripción del fichero “ARCHIVO IMÁGENES DIGITALES” se indicó a la AEPD que tiene como órgano responsable el Complejo Asistencial de Ávila, encuadrado en la GERENCIA REGIONAL DE SALUD, de la CONSEJERIA DE SANIDAD, y aparece descrito como “Almacenamiento de imágenes digitales producidas por los servicios médicos”, conteniendo datos de salud con nivel de seguridad alto. En dicho fichero se almacenan las imágenes obtenidas por radiodiagnóstico.(367 a 372) 3) Se manifiesta en la visita de inspección de 3/02/2016 que la GR “inició hace dos años un proyecto para la migración de todo el sistema de información pasando de un modelo en que cada Hospital tenía su propio sistema, a un modelo centralizado en grandes Centros de Procesos de Datos, ubicados en Valladolid y León”, y las imágenes clínicas estaban en proceso de migración llevándose a cabo por fases.
(4)En el momento de la visita de inspección, se manifestó que “se realiza una copia diaria de las imágenes que corresponde centralizar porque su antigüedad es superior a tres meses”, y que “residen en los sistemas centrales todas las imágenes médicas realizadas desde 2006 hasta los últimos tres meses”
(5)Las imágenes con antigüedad inferior a tres meses se almacenan en “local”, en el Complejo Asistencial de Ávila, conformando lo que se denomina sistema primario, puesto que no han pasado aun al CPD de Valladolid o Leon, o sistema secundario en el que se almacenan definitivamente.
(5). 4) Según se manifestó en la visita de Inspección, las instrucciones, y/o decisiones sobre los tratamientos del fichero ARCHIVO IMÁGENES DIGITALES así como los medios informáticos proceden de la GR. También se manifiesta que sobre las imágenes de radiodiagnósticos el personal de informatica del Complejo Asistencial de Ávila no disponía de los privilegios de administración para realizar copias de seguridad. Las copias de seguridad de las imágenes médicas se deben realizar desde los sistemas centrales de la GR.
(4), y esta tenía contratado el servicio de mantenimiento de licencias y soportes de los sistemas de información de los servicios de radiología instalados en los diversos complejos asistenciales de la GR de C y León con la entidad externa IRE RAYOS X (4, 5,80 y ss.) entre ellos el del Complejo Asistencial de Ávila. Como objeto de dicho contrato figuraba entre otros, efectuar las copias de seguridad de las imágenes de radiodiagnósticos en los discos redundantes del sistema primario
(6). 5) El 25/10/2015, los Servicios Médicos no podían acceder a imágenes médicas. La denunciada indica que el servicio de informatica del Complejo Asistencial de Ávila informó que desde 26/08/2015, algunos de los discos del sistema primario están fallando, y así se contiene en un informe de 26/10/2015 dirigido a la Gerente del Complejo (6, 55, 56). En definitiva, no se podía acceder a dichas imágenes pues se había perdido la información y no existía copia. Las fechas desde la que se contaría dicha perdida de datos según la denunciada abarcaría agosto (no concreta día) a 25/10/2015
(6). El número de datos desaparecidos afectaría a unos 15.600 según el Director Técnico de Sistemas de Información, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 basado en un estudio de la empresa de mantenimiento de la aplicación de radiología
(6). En la fecha de la visita de Inspección, no figuraba registrado en el registro de incidencias del documento de seguridad de los ficheros, la perdida de información ni los detalles de la incidencia, pese a existir un procedimiento (359 a 365) de “Documento de seguridad del Complejo Asistencial de Ávila” en el que entre otros extremos se indica que los responsables del fichero serán los encargados de mantener actualizado el Registro de incidencias, e “igualmente serán los responsables de conceder las autorizaciones para la recuperación de ficheros”
(362). 6) El intento de recuperación de los datos perdidos pasó por la contratación de una empresa, dando resultado negativo al existir daño físico en el disco
(6). Señala la denunciada que la perdida de información afectó solo a las imágenes pero la mayoría de ellas tenía asociado un informe, no siendo necesario repetirlas
(7). En algunos casos se efectuó una copia de imágenes que estaban almacenadas en local de los equipos médicos que conservaban imágenes del último mes y medio.
(7)7) Como medidas correctoras de futuro, se declara por la denunciada que se ha suscrito un contrato de mantenimiento el 26/11/2015 directamente por el Complejo Asistencial de Ávila a la que se han dado instrucciones concretas y específicas de realizar la copia de seguridad de imágenes diariamente, y se activa un sistema de aviso por correo electrónico de las alertas que se produzcan en el sistema primario. Además se revisaran diariamente las actuaciones manuales por la GR y los Complejos Asistenciales, y se revisaran semanalmente las réplicas también por los Centros Asistenciales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12 de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que señala: ”El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural”, El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, en este caso el RLOPD. En lo que respecta al concepto de fichero, el art. 3.
- b)de la LOPD los define C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 como “todo conjunto organizado de datos de carácter personal, cualesquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte, la letra
- c)del mismo artículo define tratamiento de datos como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El documento básico del que parten las medidas de seguridad en ficheros es el documento de seguridad que debe implantar el responsable del fichero, siendo un documento de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información. El documento deberá contener, como mínimo, los siguientes aspectos: -Ámbito de aplicación del documento con especificación detallada de los recursos protegidos. -Medidas, normas, procedimientos, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este Reglamento. -Funciones y obligaciones del personal. -Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan. -Procedimientos de notificación, gestión y respuesta ante las incidencias. -Los procedimientos de realización de copias de respaldo y de recuperación de datos”. El RLOPD regula los "niveles de seguridad" en función de la naturaleza de la información tratada, y siendo datos de salud o de la vida sexual se decanta por un nivel alto de protección en los niveles de seguridad de los ficheros (artículo 83.3.a). La denunciada no ha aportado el documento de seguridad que ha de adaptarse al nivel alto de medidas de seguridad, acreditándose la infracción del artículo 9.1 de la citada LOPD. Con independencia de las declaraciones que hagan los distintos órganos implicados en los hechos o las declaraciones que para la inscripción del fichero se hicieron, el artículo 3 de la LOPD indica: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Cabe reseñar que aunque los datos que se recabaran se recogían en el Complejo Asistencial, las instrucciones y decisiones sobre los tratamientos que se realizan en el fichero proceden de la GR, la que decide la migración de datos y la que firma el contrato de mantenimiento que implica la realización de las copias de seguridad es la GR, y se añade que “el personal de informatica de complejo Asistencial de Ávila no disponía de privilegios de administración para realizar copias de seguridad”. Encargado de tratamiento se define como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento” (3.
- g)LOPD. Parece deducirse pues que el Complejo Asistencial ocupa la posición de encargado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 tratamiento y que trata los datos por cuenta del responsable del fichero, la GR. Así, los Médicos del Complejo Asistencial realizan meros accesos a los datos, y como se ha indicado se da origen a la recogida de los datos en el Complejo, no disponiendo este de poder de decisión sobre el tratamiento. Así, en este caso, se deduce por la concertación de los contratos de la GR con la entidad encargada de llevar a cabo las copias de seguridad de las imágenes perdidas, y también porque al detectarse las incidencias, los procesos de corrección, (recuperación de datos) se indica, se han efectuado previa autorización de la misma GR (artículo 100.2 RLOPD.) Se debe incidir en que se señaló que como medida correctora, una de ellas, consiste en que se ha formalizado un contrato de mantenimiento directamente por el Complejo Asistencial, y se solicitaron contraseñas y privilegios de acceso al sistema para realizar diariamente revisión de alertas. III Uno de los aspectos de seguridad vulnerados se relaciona en los artículos 90 y 100 del RLOPD que señalan: “Artículo 90. Registro de incidencias. Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas. Artículo 100. Registro de incidencias. 1. En el registro regulado en el artículo 90 deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación. 2. Será necesaria la autorización del responsable del fichero para la ejecución de los procedimientos de recuperación de los datos.” El informe que el jefe de Servicio de Informatica dirige a la Directora Gerente el 26/10/2015 no constituye la anotación en el registro de incidencias que ha de redactarse y formar parte del documento de seguridad de los ficheros. En el presente caso, es notorio que, con independencia de las medidas de seguridad nominalmente aprobadas y formalmente implantadas, existía una vulnerabilidad de las medidas de protección de los datos del fichero al prever la norma que se anoten y registren detallando que “se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.” Otra irregularidad detectada en las medidas de seguridad se contiene en el artículo 94 del RLOPD: “Copias de respaldo y recuperación” artículo que se relaciona con medidas de seguridad de ficheros de nivel de seguridad básico, es decir cualquier fichero. “1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad. 3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. 4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad. Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.” En relación también con el artículo 102 del mismo Reglamento que específicamente es aplicable a los ficheros de nivel de seguridad alto, señala: “Copias de respaldo y recuperación. Deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas en este título, o utilizando elementos que garanticen la integridad y recuperación de la información, de forma que sea posible su recuperación.” En el presente supuesto, si bien existían contratos suscritos para la realización de las copias de seguridad, el responsable del fichero no comprobaba el efectivo funcionamiento del copiado de datos. Si se produce un hecho, aunque se califique de fuerza mayor, o el deterioro o rotura del disco, la copia de respaldo habría garantizado la conservación de los datos. Se hace notar que en el informe que el Jefe de Servicio de Informatica dirige el 26/10/2015 a la Gerente, folio 56, se indica respecto al fallo de discos que algunos de estos vienen dando fallos desde 26/08, y en cuanto a la solución de averías se comenta que la empresa EMC2 pasa presupuesto a SACYL y una vez aceptado se resuelve la avería. En unos párrafos a continuación se refiere al mantenimiento de un adecuado sistema de vigilancia de alertas que las maquinas generan y que no funcionó o no se tuvo en cuenta en el caso concreto. Independientemente de si el fallo procede de una negligencia del técnico de la empresa contratada, se debe señalar que no se perdieron datos de antes de agosto 2015, sino a partir de dicho mes, y que la verificación de que las copias se han hecho es responsabilidad del responsable del fichero que ni ha establecido un modo de reporte con la empresa ni estableció por si dicho medio de verificación de copia durante todo el periodo de los meses en que las imágenes comprendían, es decir hasta 25/10/2015 fecha en que se detectó el fallo. IV La infracción figura tipificada como grave en el artículo 44.3.
- h)de dicha norma, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” V Respecto de la falta de legitimidad pasiva alegada por la Consejería denunciada, se debe indicar que el artículo 46.1 de la LOPD indica: “Infracciones de las Administraciones públicas”: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. Aunque la gestión del sistema de salud y en consecuencia los ficheros objeto de la denuncia la efectúa la GR, en la inscripción del fichero tampoco figura como responsable la citada GR, sino el Complejo Asistencial de Ávila. Junto a ello, la creación del fichero se efectúa por una Orden de la Consejería de Sanidad (folios 371 y 372), a la que figura adscrita la GR. Además, dada la finalidad no sancionatoria del procedimiento sino tendente a la toma de medidas correctoras no se considera improcedente el seguimiento contra la denunciada, por lo que sus alegaciones no pueden ser estimadas. VI El artículo 9.1 de la LOPD , según reiterada jurisprudencia de la Audiencia Nacional, impone una obligación de resultado, así se determina en múltiples sentencias, entre otras la de 28/06/2006 en que se indica: “la obligación que dimana del artículo 9 de la LOPD no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, en concreto recoge "Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de como los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva toda responsable de un fichero (o encargada del tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualquier otro datos de carácter personal pueda llegar a manos de terceras personas." Concurren suficientes elementos, desde el punto de vista subjetivo, para efectuar el reproche jurídico en que se concreta la declaración de infracción. Cuando se trata de la modalidad de la gestión de servicios a través de un encargado de tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 se entiende que se posee un adecuado nivel de comprensión del funcionamiento del sistema y se debe vigilar el funcionamiento de las funciones encomendadas que tan solo supone un encargo de funciones de los propios datos de los que se es responsable. Si puede ser cierto que en un momento dado el disco duro se avería, también se tenían que haber apercibido que durante un amplio periodo de tiempo no se estaban produciendo las copias de los datos de las imágenes radiológicas. Este hecho en sí es anterior a la avería del disco. Ante el fallo simultáneo en el equipo de almacenamiento en el programa de imagen medica radiológica RIS-IRE que daba soporte al almacenamiento primario, motivado por un fallo físico en el disco duro, se han implantado medidas por la denunciada como la autorización al propio Complejo Asistencial para revisiones diarias de posibles alertas que les serán enviadas vía correo electrónico en el momento en que se produzcan y la expresa orden de la GR para que por la entidad adjudicataria lleve a cabo las copias diariamente. Razonable y previsiblemente estas medidas, además de la formación de los técnicos de informatica pueden contribuir a que una infracción como la producida no se reitere, por lo que no se requieren medidas adicionales. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, SACYL ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con los artículos 90, 94, 100 y 102 del RLOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, SACYL. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 44.1 de la LJCA el responsable del fichero de titularidad pública, podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es