1/6 Procedimiento Nº AP/00014/2017 RESOLUCIÓN: R/02750/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00014/2017, instruido por la Agencia Española de Protección de Datos al HOSPITAL UNIVERSITARIO VIRGEN MACARENA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de entrada 2/06/2016 se recibe denuncia de Dña. A.A.A. (en lo sucesivo la denunciante) contra el HOSPITAL UNIVERSITARIO VIRGEN MACARENA (en lo sucesivo el denunciado). Manifiesta la denunciante que el denunciado emitió sendos justificantes a la denunciante para presentar a su empresa sobre el ingreso hospitalario de su cuñada, durante los días 12 al 14/02/2016. En el primero, emitido el 14/02/2016, se hacía constar servicio de “obstetricia” y en el segundo, emitido el 18/03/2016 se hacía constar “urgencia” con diagnostico “parto”. Del primer justificante no dispone de copia ya que fue presentado en la empresa. La denunciante presenta reclamación el 28/04/2016 ante el HOSPITAL ya que no era necesario hacer constar en el justificante ni el diagnóstico ni el tratamiento ni la especialidad que había atendido a la paciente. Para justificar la ausencia en base al artículo 37.3
- b)del Estatuto de los Trabajadores y 39
- n)del vigente Convenio Colectivo de su empresa, los datos a contener serían los referidos únicamente a hospitalización de familiar, sin que deba aportarse información sobre el concreto problema de salud. Se adjunta con el escrito de denuncia la siguiente documentación: Documento emitido por el HOSPITAL en el que en parte automatizada y en parte manual se completan los datos, figura lo siguiente: El asegurado o beneficiario XXXXX ingresó en este hospital con carácter de urgencias (a mano) el día 12/02/2016 con diagnóstico de parto (a mano) habiendo sido intervenido el día 12/02/2016 continuando hospitalizado en la habitación cama 4 planta. (a mano). A petición de los familiares del enfermo se extiende la presente en Sevilla a 18 de marzo de 2016. (a mano) Alta 14 – 2 – 16 (a mano). Respuesta dada a la reclamación de la denunciante por parte del HOSPITAL, el día 29/04/2016: “El modelo de justificante entregado es el que está autorizado y oficialmente establecido. Ante la petición del titular de la información o de cualquier familiar, se entrega un justificante donde en ningún caso se especifica el motivo del ingreso, si la fecha de ingreso, el Servicio al que está adscrito el mismo y la fecha de alta. (..)”. Reclamación formulada por la denunciante ante el HOSPITAL, de fecha 11/05/2016, en la que manifiesta los mismos hechos que los comunicados ante esta AEPD, y aporta copia de un justificante similar que se le entregó por la denunciada el 6/05/2013 y que no contiene más que la referencia a Urgencias, ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 diagnostico ni servicio. Convenio colectivo para el personal laboral de la Diputación Provincial de Sevilla: años 2013 – 2015, BOP de 7/08/2013. En su artículo 39 k),
- m)y
- n)se indican los permisos relacionados con ingresos hospitalarios y las personas que dan lugar al mismo. No se contempla referencia alguna a los permisos por segundo grado de afinidad (cuñados). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al HOSPITAL UNIVERSITARIO VIRGEN MACARENA, que el 31/03/2017 manifiesta: Los justificantes de hospitalización o intervención quirúrgica se emiten a través del aplicativo informático en los que no se especifican el motivo del ingreso en el periodo de tiempo que el paciente se encuentra ingresado en el HOSPITAL. El justificante entregado a la denunciante, el día 18/03/2016, no es el que habitualmente entregan a los usuarios para evidenciar el ingreso de un paciente, se cumplimentó manualmente y en un formato antiguo, en desuso que ha sido retirado, que aún se conservaba en la planta de hospitalización de Obstetricia y Ginecología. Dicho justificante se solicitó, el día 18/03/2016, cuando la paciente ya no estaba ingresada, ya que fue dada de alta el día 14/02/2016, por lo que al no poderlo emitir a través del aplicativo se utilizó un modelo antiguo. Dicho procedimiento no es el habitual ya que cuando un paciente o familiar acude a solicitar un justificante, con fecha posterior al alta, es decir ya no está hospitalizado, el documento se tramita desde el Servicio de Atención al Ciudadano, constando dicha circunstancia y la fecha de ingreso y de alta, cuyo modelo adjuntan, y en el que no se deriva que conste ni diagnostico ni servicio. Añaden que desean manifestar lo excepcional del caso, que están tomando medidas para que hechos como este no se vuelvan a repetir, habiendo informado a todo el personal administrativo y retirado los justificantes manuales. TERCERO: Con fecha 17/05/2017, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas al SERVICIO ANDALUZ DE SALUD (HOSPITAL UNIVERSITARIO VIRGEN MACARENA) por la infracción del artículo 4.1 de la LOPD tipificada como grave en el artículo 44.3.
- c)de dicha LOPD. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 20/0172017 la denunciada presenta alegaciones en las que reitera la excepcionalidad del caso. Añade que en ocasiones se ha de consignar la causa o diagnóstico pues el Convenio Colectivo facilita distintas clases de permisos. En el sistema de emisión de justificantes no aparecen estos datos, solo los referidos a la identificación del paciente y fecha de asistencia, por lo que “entendemos no ha lugar a infracción”. QUINTO: Con fecha 11/09/2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el HOSPITAL UNIVERSITARIO VIRGEN MACARENA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.c de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de la mencionada Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Frente a la propuesta no se han recibido alegaciones. SEXTO: Quedan acreditados como probados los siguientes hechos: 1) La denunciante tenía que aportar un justificante para su trabajo, del ingreso hospitalario de un familiar que ingresó en el Hospital Virgen Macarena durante el período 12 a 14/02/2016. 2) El Hospital expidió a la denunciante un justificante en el que figuran precumplimentados algunos apartados y otros escritos a mano. El justificante de 18/03/2016 contiene como diagnóstico de la asegurada “parto” y su nombre y apellidos
(10). Aportó por comparación la denunciante otro que se le entregó en el pasado, el 6/03/2013, en el que solo figuraba “Urgencias”.
(11). 3) El Estatuto de los Trabajadores contempla entre otros permisos retribuidos, el motivado por hospitalización a parientes de hasta el segundo grado por afinidad (cuñados). 4) La denunciada manifestó en actuaciones previas que el justificante entregado a la denunciante fechado el 18/03/2016 no es el que habitualmente entregan a las personas sino que era un formato antiguo que ha sido retirado. El sistema implementado utiliza una aplicación informatica. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II A la denunciada se le imputa la infracción del artículo 4.1 de la LOPD que dispone “Los datos de carácter personal solo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, también debe respetarse en el posterior tratamiento que se realice de los mismos. Los datos que se incluyan en el justificante relativos al paciente pueden tener la consideración de datos de salud, conforme a lo señalado en el artículo 5.1.
- g)del Reglamento de desarrollo de la LOPD, aprobado por Real decreto 1720/2007, de 21/12, que define los datos de carácter personal relacionados con la salud como “las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética” La finalidad del documento “certificado” o “justificante” de hospitalización, es la de ser aportado ante el empresario para acreditar el derecho que un trabajador ostenta a un permiso por causa de enfermedad de un familiar. Los datos proceden o se extraen del historial clínico, y su base legal se recoge en el ámbito laboral, en el Real Decreto Legislativo 1/1995, de 24/03, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores. Dispone su artículo 37.3: “El trabajador, previo aviso y justificación, podrá ausentarse del trabajo, con derecho a remuneración, por alguno de los motivos y por el tiempo siguiente: (…)
- b)Dos días por el nacimiento de hijo y por el fallecimiento, accidente o enfermedad graves, hospitalización o intervención quirúrgica sin hospitalización que precise reposo domiciliario, de parientes hasta el segundo grado de consanguinidad o afinidad. Cuando con tal motivo el trabajador necesite hacer un desplazamiento al efecto, el plazo será de cuatro días.” Esta es la norma con rango de ley que vendría a habilitar la cesión por parte del centro sanitario de datos de los pacientes a sus familiares, con la finalidad señalada de justificar el disfrute de los permisos concedidos por la ley en esas situaciones, así como el posterior tratamiento de dichos datos por parte del empresario o la Administración Pública con la misma finalidad. Por tanto, no resultará preciso el consentimiento de los pacientes para emitir los justificantes a que la consulta se refiere. En la medida en que los justificantes a que se refiere la denuncia, tienen como finalidad acreditar la circunstancia de salud recogida en los artículos 37.3.
- b)del Estatuto de los Trabajadores, los datos a contener vendrán referidos únicamente a dicha circunstancia, esto es el de mera existencia de enfermedad o accidente grave, o, en su caso, hospitalización o intervención quirúrgica sin hospitalización que precise reposo domiciliario, sin que deba aportarse información sobre el concreto problema de salud que se haya atendido. Si el convenio distinguiera o mejorara los permisos en consideración a la gravedad de la enfermedad padecida, el justificante deberá limitarse a incluir la situación de grave, sin más información, toda vez que el empresario no está habilitado para valorar la gravedad (es el médico que trata al paciente quien determina la gravedad) ni a hacer ningún otro tipo de tratamiento con los datos contenidos en el justificante diferente al señalado de comprobar la situación de hecho que justifica la obtención del permiso. En casos en que fueran los propios médicos los que emitieran justificante de asistencia a su servicio, en los casos en que se incluyeran su sello en el que aparece su nombre, apellidos y especialidad médica, se debe tener en cuenta que el hecho a justificar es el de la mera asistencia a consulta médica, y sería conveniente adaptar, en la medida de lo posible, el procedimiento de emisión de justificantes a la mera acreditación de dicha circunstancia sin especificar cuál es dicha especialidad. Solo en casos en que los permisos regulados en el Estatuto de los Trabajadores pudieran ser mejorados a través de convenios colectivos, estableciéndose, por ejemplo, en función de la especialidad médica, sería posible señalar en el justificante que la especialidad es una de aquéllas contenidas en el convenio colectivo de que se trate, sin especificar cuál es dicha especialidad. Se acredita en este supuesto concreto que la denunciada incumplió el citado artículo 4.1 de la LOPD al contenerse un datos referido a la salud que no era preciso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 que contuviera con el resultado de poner a disposición de un tercero, la empresa un dato no adecuado, proporcionado ni ajustado a la normativa vigente. III La denunciada ha incurrido en conducta tipificada en el artículo 44.3.
- c)de la LOPD, que califica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” IV Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En este caso la conducta de la denunciada vulnera el citado principio de calidad de datos, toda vez que ha quedado acreditado en el presente procedimiento que se ha producido un tratamiento no pertinente e inadecuado de los datos de los datos personales del afectado en concreto consignando unos datos excesivos. La denunciada manifestó en actuaciones previas que el justificante entregado a la denunciante, fechado el 18/03/2016, no es el que habitualmente entregan a las personas sino que era un formato antiguo que ha sido retirado. El sistema implementado utiliza una aplicación informatica en el que no se detalla “el motivo del ingreso” y su entrega se ha centralizado en la Unidad de Atención al paciente o Ciudadano. También la denunciada aportó en previas copia del Informe del Gabinete Jurídico del Informe 428/2013 sobre contenido de los justificantes de asistencia sanitaria a efectos de permisos. Por los motivos expuestos, no se impone medida para cumplir derivada de los hechos declarados, pues se estima que ya han sido tomadas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 PRIMERO: DECLARAR que el HOSPITAL UNIVERSITARIO VIRGEN MACARENA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al HOSPITAL UNIVERSITARIO VIRGEN MACARENA y al órgano del que depende, CONSEJERIA DE IGUALDAD, SALUD Y POLITICAS SOCIALES, SERVICIO ANDALUZ DE SALUD, DIRECCION GENERAL DE ASISTENCIA SANITARIA, de acuerdo con el artículo 46.1 de la LOPD. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. CUARTO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es