AAPP-00014-2015

1/11 Procedimiento Nº AP/00014/2015 RESOLUCIÓN: R/01739/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00014/2015, instruido por la Agencia Española de Protección de Datos al SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA, vista la denuncia presentada, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), el día 31 de marzo de 2014, escrito presentado por D. A.A.A. y Dª B.B.B. (en adelante denunciantes1) y Dª C.C.C. y D. D.D.D. (en adelante denunciantes2), en su nombre y en representación de su hijo menor de edad (en adelante denunciante3). Con fecha de 23 de mayo de 2014 se aporta documentación relativa a la subsanación y mejora de la denuncia, demanda y los documentos objeto de la denuncia que no habían sido aportados junto con el primer escrito. Los denunciantes manifiestan lo siguiente: Con fecha 29 de octubre de 2013 el denunciante1 fue emplazado para contestar a una demanda, división de la cosa común interpuesta por sus hermanos, en relación con unas fincas que mantienen en proindiviso. El ejercicio de dicha acción judicial, que en Derecho español asiste a cualquier comunero para extinguir una comunidad de bienes, no requiere de más dato o fundamento que la mera petición de un comunero frente a los otros y de su ejercicio judicial. Sin embargo, junto con la referida demanda se aportan una serie de documentos obtenidos directamente por los demandantes sobre datos sanitarios de los denunciantes obrantes en el Servicio Madrileño de Salud de la Consejería de Sanidad de la Comunidad de Madrid (en adelante Consejería de Sanidad), referidos al Centro de Salud al que habitualmente acuden, el médico de cabecera y enfermera que les atiende y el hospital que les corresponde. Los documentos aportados son los siguientes:  Dos Documento para el cambio de domicilio del Servicio Madrileño de Salud, de fecha 28 de enero de 2013, en los que constan datos personales de los denunciantes2: nombre, apellidos, fecha y lugar de nacimiento, sexo, tipo de usuario “T” “general titular normal”, NIF, nº de afiliación, domicilio postal, teléfonos, centro de salud, facultativo y hospital asignado. Dichos documentos se adjuntan a la demanda como documentos nº 8 y 9 y cuya copia anexan a la denuncia ante esta AEPD.  Dos Documento para la emisión y/o modificación de la tarjeta sanitaria, de fecha 22 y 23 de mayo de 2013, en los que constan datos personales de los denunciantes1: nombre, apellidos, fecha y lugar de nacimiento, sexo, tipo de usuario “T” “pensionista titular normal”, NIF, nº de afiliación, domicilio postal, teléfonos, centro de salud, facultativo y hospital asignado. Dichos documentos se adjuntan a la demanda como documentos nº 11 y 12 y cuya copia anexan a la denuncia ante esta AEPD.  Un formulario Documento para la emisión y/o modificación de la tarjeta sanitaria, de fecha 23 de octubre de 2012, en el que constan datos personales del denunciante3: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 nombre, apellidos, fecha y lugar de nacimiento, sexo, tipo de usuario “B” “general beneficiario normal”, nº de afiliación, domicilio postal, teléfonos, centro de salud, facultativo y hospital asignado. Dicho documento se adjunta a la demanda como documento nº 10 y cuya copia anexan a la denuncia ante esta AEPD. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “Sistema de inf. poblacional T.S.I.”, con el código ***CÓD.1, constando como descripción “información básica de los ciudadanos usuarios del sistema sanitario que posibilitan la planificación y gestión de la asistencia sanitaria de la Comunidad de Madrid” y cuyo responsable es la Consejería de Sanidad de la Comunidad de Madrid. 2. De las actuaciones realizadas por la Inspección de Datos, el día 15 de diciembre de 2014, en la Subdirección de Coordinación de Atención Primaria y Aseguramiento de la Consejería de Sanidad de la Comunidad de Madrid y de la información remitida con fecha de 15 de enero de 2015 se desprende lo siguiente: - La Tarjeta Sanitaria es el documento emitido por la Consejería de Sanidad que identifica a los ciudadanos como usuarios del Sistema Sanitario de la Comunidad de Madrid. Para ello, los ciudadanos deberán dirigirse al Centro de Salud que le corresponde en razón de su domicilio y el personal administrativo cumplimentará directamente los datos personales, a través de la base de datos de Tarjeta Sanitaria, haciendo entrega al interesado de un documento provisional con objeto del acceso a la asistencia sanitaria. La documentación requerida siempre deberá acreditar la identidad del solicitante o de su representante legal, para ello se deberá mostrar el DNI o NIE u otro documento así como la documentación especifica según el tipo de usuario del sistema de salud. Los datos personales de los usuarios de Tarjeta Sanitaria se incorporan al fichero denominado “Sistema de inf. poblacional T.S.I.”. - Para la actualización de los datos personales relativos a la Tarjeta Sanitaria como un cambio de domicilio o de teléfono solamente podrán realizarse en el Centro de Salud al que se encuentre adscrito el ciudadano, de forma directa en el citado fichero, y para ello el solicitante debe acreditar su identidad, como titular de los datos o como representante autorizado, mostrando el documento de identificación, aportando también el correspondiente volante de empadronamiento actualizado. A la vista de estos documentos, el administrativo del centro de salud modifica los datos personales y no se guardan copias de los documentos acreditativos. La Comunidad de Madrid se estructura en 400 Centros de Salud en los que el personal administrativo con autorización de acceso puede realizar los trámites para la “emisión y/o modificación de la tarjeta sanitaria” y “cambio de domicilio”, si bien exclusivamente pueden realizar las modificaciones de los datos personales de los ciudadanos en el Centro de Salud que le corresponda en razón de su domicilio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 - El Sistema de Información de Tarjeta Sanitaria requiere para su acceso la identificación del usuario, previamente autorizado, mediante el correspondiente login y password, quedando traza (registro de acceso) de los procesos realizados por el mismo (modificaciones, altas, bajas, etc.). Sin embargo, no existían trazas de la impresión de documentos. Si bien, en diciembre de 2014, se implementó como mejora el registro-traza del usuario que ejecutara la impresión de documentos. - En los cinco documentos aportados por los denunciantes existe una coincidencia entre la "fecha de solicitud" por el ciudadano y la fecha de emisión del documento que figura bajo el sello del Centro de Salud. Por ello, se podrían haber impreso los documentos con posterioridad a la modificación de datos. Con objeto de poder identificar correctamente la fecha de impresión de documentos, se realizó una modificación en el Sistema de Información de Tarjeta Sanitaria, por lo que en los documentos obtenidos durante la inspección, la fecha que figura bajo el sello del Centro es la fecha real de impresión. - Los documentos relativos a la Sra. C.C.C. y al Sr. D.D.D.“Documento para cambio de domicilio” fueron emitidos el día 28 de enero de 2013 o posteriormente en el Centro de Salud San Juan de la Cruz de Pozuelo. - El documento a nombre de E.E.E. relativo a “Documento para la emisión y/o modificación de la tarjeta sanitaria” fue emitido el día 23 de octubre de 2012 o posteriormente desde el Centro de Salud San Juan de la Cruz de Pozuelo. - Los documentos relativos al Sr. A.A.A. y la Sra. B.B.B. “Documento para la emisión y/o modificación de la tarjeta sanitaria” fueron emitidos el 22 y 23 de mayo de 2013 o posteriormente, y corresponde el segundo con incorporación de un nº de teléfono desde el Centro de Salud San Juan de la Cruz de Pozuelo. - En el Centro de Salud San Juan de la Cruz de Pozuelo, en el que se emitieron los documentos anteriormente citados, no disponen de documentación relativa a la acreditación de las solicitudes. - Que debido a las fechas en las que se imprimieron los documentos, no es posible determinar de forma concluyente qué usuario o usuarios realizaron los accesos al Sistema de Información. TERCERO: Con fecha 27 de marzo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “ Que el sistema de información sobre la cual versa este requerimiento, es el denominado Sistema de Información Poblacional, T.S.I. que constituye un registro de los datos de identificación, localización, reconocimiento del derecho a las prestaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 sanitarias (…) este sistema de información adopta las medidas de seguridad apropiadas para la protección de datos de carácter personal registrados (…) Que todos los usuarios del Sistema de Información Poblacional, T.S.I. están obligados a conocer y observar las medidas, normas, procedimientos, reglas y estándares que afecten a las funciones que desarrollan, y que se encuentran claramente definidas y documentadas.(…) Que de conformidad con el artículo 103 del Real Decreto 1720/2007, el acceso a la aplicación, mediante usuario (DNI) y contraseña permite el acceso a las funcionalidades asignadas al perfil del usuario que accede. Las operaciones realizadas en base a la gestión administrativa conlleva la trazabilidad de registro de acceso del usuario, así como la IP, fecha y hora de la operación. Todo lo que se hace sobre los datos de un paciente queda registrado en un log de accesos (identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado), existiendo tablas de auditoría completas. Se realiza, igualmente, una revisión mensual de la información registrada en el log de registro. Por su parte, en diciembre de 2014, se implementó como mejora el registro-traza del usuario que ejecuta la impresión de documentos.(…) Que no ha quedado acreditado que el Servicio Madrileño de Salud hubiese facilitado a un tercero los documentos para el cambio de domicilio y documentos para la emisión y/o modificación de la tarjeta sanitaria titularidad de los denunciantes, al no constar acreditada la autoría, de modo que no existe prueba suficiente que permita imputar una posible vulneración del artículo 10 de la LOPD.” Concluyen las alegaciones solicitando que se dicte resolución por la que se determine el archivo del procedimiento. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, los denunciantes presentan escrito de personación en el procedimiento y solicitan que se les tenga como parte interesada en el mismo. SEXTO: Con fecha 7 de mayo de 2015 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02699/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00014/2015 presentadas por el SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA, y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 SÉPTIMO: Con fecha 1 de julio de 2015, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. OCTAVO: Notificada la propuesta de resolución, el SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA presentó alegaciones frente a la misma en las que comunica: “En este sentido, y reiterando lo expuesto en el escrito anterior, el Sistema de Información Poblacional, T.S.I., adopta las medidas de seguridad apropiadas para la protección de datos de carácter personal registrados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados. Asimismo, a la vista de las observaciones realizadas por la Inspección de la Agencia Española de Protección de Datos, se modificó la aplicación informática para que pueda identificarse qué usuario autorizado ha impreso un documento desde la aplicación, así como la fecha actualizada al día en que se imprime. (…) TERCERO.- Que el acceso a la información contenida en el Sistema de Información Poblacional, T.S.I. se concede al propio titular de los datos, previa acreditación de su identidad o, en su caso, su representante debidamente autorizado e identificado. (…) QUINTO.- Que no habría quedado acreditado que la documentación entregada en la demanda interpuesta por los familiares de los denunciantes de este procedimiento, se hubieran expedido por la Consejería de Sanidad de la Comunidad de Madrid directamente a los demandantes, pues dicha información es únicamente entregada a petición de la titular o representante autorizado, por lo que tales documentos pudieron llegar por otro conducto a los demandantes.” Concluyen las alegaciones solicitando que se dicte resolución por la que se determine la anulación de la infracción propuesta por falta de prueba bastante de la participación de la Dirección General de Atención Primaria en la entrega de los documentos a persona distinta de los titulares de los datos. HECHOS PROBADOS PRIMERO: Se ha denunciado que, en una demanda interpuesta por los familiares de los denunciantes de este procedimiento, ante el Juzgado de primera instancia del Pozuelo de Alarcón, se han aportado unos documentos expedidos por la Consejería de Salud de la Comunidad de Madrid que han sido obtenidos directamente por los demandantes. Estos documentos se han aportado con la demanda en prueba del domicilio habitual de los denunciantes. SEGUNDO: La documentación aportada en la citada demanda consistió en:  Dos “Documentos para el cambio de domicilio” del Servicio Madrileño de Salud, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 fecha 28 de enero de 2013, en los que constan datos personales de dos denunciantes: nombre, apellidos, fecha y lugar de nacimiento, sexo, tipo de usuario “T” “general titular normal”, NIF, nº de afiliación, domicilio postal, teléfonos, centro de salud, facultativo y hospital asignado. Dichos documentos se adjuntan a la citada demanda como documentos nº 8 y 9.  Dos “Documentos para la emisión y/o modificación de la tarjeta sanitaria”, de fecha 22 y 23 de mayo de 2013, en los que constan datos personales de dos denunciantes: nombre, apellidos, fecha y lugar de nacimiento, sexo, tipo de usuario “T” “pensionista titular normal”, NIF, nº de afiliación, domicilio postal, teléfonos, centro de salud, facultativo y hospital asignado. Dichos documentos se adjuntan a la citada demanda como documentos nº 11 y 12.  Un “Documento para la emisión y/o modificación de la tarjeta sanitaria”, de fecha 23 de octubre de 2012, en el que constan datos personales del denunciante3: nombre, apellidos, fecha y lugar de nacimiento, sexo, tipo de usuario “B” “general beneficiario normal”, nº de afiliación, domicilio postal, teléfonos, centro de salud, facultativo y hospital asignado. Dicho documento se adjunta a la demanda como documento nº 10 y cuya copia anexan a la denuncia ante esta AEPD. TERCERO: El día 15 de diciembre de 2014, se llevó a cabo una Inspección por esta Agencia en la Subdirección de Coordinación de Atención Primaria y Aseguramiento de la Consejería de Sanidad de la Comunidad de Madrid, en la que se puso de manifiesto lo siguiente: Que en el fichero denominado “Sistema de Información Poblacional, T.S.I.” se registran los datos de identificación, reconocimiento del derecho a las prestaciones sanitarias y asignación de recursos sanitarios de los usuarios del sistema sanitario de la Comunidad de Madrid. La actualización de esos datos se realiza en el Centro de Salud de adscripción y requiere que el usuario del Sistema se identifique. Estos procesos quedan registrados. Durante la inspección realizada en diciembre de 2014, se constató que no existían trazas de la impresión de documentos por lo que se incorporó como mejora el registrotraza del usuario que realiza la impresión de documentos. Los representantes del Servicio madrileño de salud manifestaron que: “debido a las fechas en las que se imprimieron los documentos, no es posible determinar de forma concluyente qué usuario o usuarios realizaron los accesos al Sistema de Información.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este caso, ese deber de secreto comporta que el Servicio Madrileño de Salud, responsable de los datos personales de los usuarios, contenidos en el fichero denominado “Sistema de Información Poblacional, T.S.I.”, no puede revelar ni dar a conocer su contenido a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la ley. En el presente caso se cumplen los requisitos para la imputación de una infracción del artículo 10 de la LOPD, denominada “de resultado”, que exige que los datos personales sobre los que exista un deber de secreto profesional, como aquí ocurre en relación con los datos personales de los usuarios denunciantes, se hayan puesto de manifiesto a un tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 III En sus alegaciones al acuerdo de inicio el Servicio Madrileño de Salud ha manifestado “que no ha quedado acreditado que el Servicio Madrileño de Salud hubiese facilitado a un tercero los documentos para el cambio de domicilio y documentos para la emisión y/o modificación de la tarjeta sanitaria titularidad de los denunciantes, al no constar acreditada la autoría, de modo que no existe prueba suficiente que permita imputar una posible vulneración del artículo 10 de la LOPD.” Los datos personales de los usuarios del Servicio citado, son datos que figuran en los ficheros de datos personales cuyo responsable es el Servicio Madrileño de Salud, datos de carácter personal que, por lo tanto, están sujetos al ámbito de aplicación de la LOPD por ser datos de personas físicas. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
4. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
5. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En la misma línea el artículo 5.1
6. q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas el Servicio Madrileño de Salud, es el responsable del fichero y del tratamiento de los datos de carácter personal relativos a los datos personales de sus usuarios contenidos en el fichero denominado “Sistema de Información Poblacional, T.S.I.”. En consecuencia, el Servicio Madrileño de Salud está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. En las alegaciones a la propuesta de resolución la entidad denunciada manifiesta que el “Sistema de Información Poblacional T.S.I.” adopta las medidas de seguridad apropiadas para la protección de los datos de carácter personal y que, según las observaciones realizadas por la Inspección de la AEPD, se modificó la aplicación informática para que pueda identificarse qué usuario autorizado ha impreso un documento desde la aplicación y la fecha actualizada del día en que se imprime. Su alegación se basa en que no está acreditado que la documentación objeto de denuncia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 se entregara por la Consejería de Sanidad de la Comunidad de Madrid directamente a los familiares de los denunciantes, a quienes pudieron llegar por otro conducto. El Servicio Madrileño de Salud no ha podido informar respecto de quienes fueron los usuarios del Sistema TSI que accedieron e imprimieron los documentos objeto de la presente denuncia, ni cuando se imprimieron. Si ha manifestado que fue a partir de la visita llevada a cabo por la Inspección de esta Agencia cuando se modificó la aplicación informática para que pueda identificarse qué usuario autorizado ha impreso un documento desde la aplicación y la fecha actualizada del día en que se imprime. En las alegaciones al acuerdo de inicio el SMS manifestó que “en diciembre de 2014, se implementó como mejora el registro-traza del usuario que ejecuta la impresión de documentos”. En el presente caso se ha acreditado que los documentos en cuestión con datos personales de los denunciantes, fueron aportados en una demanda ante un juzgado sin el consentimiento de los afectados y que el responsable del fichero en que se contienen dichos datos personales es el Servicio Madrileño de Salud y como tal está obligado al secreto profesional de los mismos y al deber de guardarlos. Por esta razón debe desestimarse lo alegado respecto de la falta de acreditación de la infracción cometida toda vez que el Servicio Madrileño de Salud es el responsable del fichero en el que figuran los datos personales que han sido revelados a terceros sin el consentimiento de los afectados. IV La conducta de la entidad denunciada se incardina en el artículo 44.3.
7. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la entidad imputada ha divulgado los datos de salud de cinco usuarios cuyos datos se aportaron a una demanda ante un juzgado sin su consentimiento. Dado que ha existido una vulneración en el deber de secreto por parte del Servicio Madrileño de Salud en relación a datos de carácter personal, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito de la entidad denunciada, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
8. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR al SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA la adopción de medidas correctoras toda vez que se ha acreditado que ya se han adoptado las medidas que impidan que en el futuro pueda producirse una nueva infracción como la declarada, en cumplimiento de lo previsto en el artículo 10 de la LOPD. TERCERO: NOTIFICAR la presente resolución al SERVICIO MADRILEÑO DE SALUD, D.G. DE ATENCION PRIMARIA y a D. A.A.A. y Dª B.B.B. y a Dª C.C.C. y D. D.D.D.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es