1/10 Procedimiento Nº AP/00016/2018 RESOLUCIÓN: R/00941/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00016/2018, instruido por la Agencia Española de Protección de Datos al SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de agosto de 2017, tiene entrada en esta Agencia un escrito de Dª. A.A.A. (en adelante la denunciante), en el que expone que, en el mes de enero de 2017 solicitó ante el hospital Grande Covian de Arriondas, información sobre las personas que habían accedido a su Historia clínica, durante el periodo comprendido entre el 15 de agosto y el 15 de octubre de 2016. El 25 de febrero de 2017 mantuvo una entrevista con la Directora del Hospital, que le entregó un informe de trazabilidad, y le dijo que lo estudiara. El 17 de marzo de 2017 se reunió de nuevo con la Directora y una persona de informática, solicitando que le ampliaran información sobre una serie de accesos realizados desde el centro de salud de Ribadesella, donde había prestado sus servicios como trabajadora del mismo. El 29 de marzo de 2017 se le entregó un documento donde identificaban a la persona que había realizado los accesos, era un médico de Atención Primaria del centro de salud de Ribadesella, que no era médico de la denunciante. Con fecha 7 de julio de 2017, vuelve a reunirse con la Directora, quien le comunica que dicho médico niega haber sido el responsable de los accesos, culpando de los mismos a los trabajadores del Centro de salud, que utilizan su clave personal. Se anexa la siguiente documentación: Parte del informe de trazabilidad proporcionado por la Gerencia del Hospital Grande Covian de Arriondas. Hoja en la que los Servicios informáticos de dicho Hospital identifican los accesos realizados desde el centro de salud de Ribadesella, a la Historia clínica de la denunciante sin justificación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 18 de octubre de 2017, se recibe escrito del Servicio de Salud del Principado de Asturias (en adelante SESPA), en el que se pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Según consta en el informe realizado por el médico de Atención Primaria a quien correspondía la clave utilizada, no fue él quien accedió al historial de la denunciante, alguien debió de usurpar su identidad. Por otra parte, la Subdirección de Infraestructuras y Servicios Técnicos ha comprobado que los accesos se han realizado desde ordenadores distintos al del citado médico. El procedimiento establecido para la asignación de usuarios autorizados, comienza con la firma del compromiso de confidencialidad al firmar el contrato laboral. La provisión de usuarios se realiza de forma automática con el alta del profesional por parte del servicio de personal, siendo el propio trabajador el que establece la contraseña. Entre la documentación remitida se encuentra un Recordatorio sobre Accesos a la Historia Clínica, en el que se expresa la responsabilidad del personal en el acceso indebido a los Historiales médicos. Con fecha 14 de febrero de 2018, se recibe escrito de la Secretaria General del Servicio de Salud del Principado de Asturias, con relación a las investigaciones realizadas en ese Servicio de Salud, con relación a los hechos denunciados, en el que ponen de manifiesto que: Con fecha 17 de marzo de 2017, se obtuvieron los accesos realizados a la Historia Clínica de la denunciante y se enviaron a la Gerencia del Área Sanitaria VI que lo había solicitado. En la misma descarga se reflejaron los accesos realizados a la mencionada historia clínica desde los Centros de Salud de Llanes y Ribadesella. En el año 2016, hubo en la Gerencia del Área Sanitaria VI problemas de gestión de las claves de identidad de los profesionales y se detectó, como consecuencia de las investigaciones, una práctica habitual, ya cortada, de cesión de claves de unos profesionales a otros. Esto hace difícil la investigación de quién realizó el acceso a la historia clínica de la denunciante, aunque se ha podido apreciar que los datos de trazabilidad que se facilitaron a la interesada, aparecen otros accesos no justificados de otros profesionales. En septiembre de 2017, se consideró oportuno por parte de la Gerencia de Salud, realizar una advertencia recordatorio a todo el personal sanitario para evitar la creciente incidencia de incumplimiento de la normativa. Se han emitido las instrucciones que se adjuntan, dirigidas a todo el personal sanitario en el que se recogen las obligaciones de los profesionales respecto a la intimidad de los pacientes. Estas instrucciones se emitieron con motivo de la apertura de varios expedientes disciplinarios e incluso condenas penales a profesionales. Así mismo, se han cargado en las pantallas de inicio de las aplicaciones Selene y Milenium, directrices al respecto. Con fecha 3 de enero de 2018 ha tenido entrada en esta Agencia un escrito de la denunciante en el que remite las diferentes solicitudes de información de los accesos a su historia clínica y solicitudes de apertura de expediente sancionador por los accesos injustificados, documentación presentada ante la Gerencia del Hospital de Arriondas, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 las contestaciones de esta Gerencia y de la Secretaria General Técnica del SESPA. Estos documentos tienen fecha entre el 10 de julio y el 17 de noviembre de 2017. TERCERO: Con fecha 15 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma. En el acuerdo de Inicio del procedimiento de declaración de infracción de Administraciones Públicas, la Directora de la Agencia Española de Protección de Datos también acordó: “3. INCORPORAR al procedimiento de declaración de administraciones públicas, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos forman parte del expediente. 4. NOTIFICAR el presente Acuerdo al SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere convenientes, de acuerdo con lo preceptuado en el apartado
- f)del artículo 127 del RLOPD.” Asimismo, en dicho acto se señalaba que: “de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio o reconociese la responsabilidad, el mismo podrá ser considerado propuesta de resolución.” CUARTO: La notificación del Acuerdo de Inicio del AP/00016/2018, según consta en certificado emitido, con fecha 16 de marzo de 2018, por el Servicio de Notificaciones electrónicas y Dirección electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda, fue puesta a disposición del Servicio de Salud del Principado de Asturias, con fecha 16 de marzo de 2018, y con esa misma fecha fue aceptada, entendiéndose practicada la misma, según lo previsto en el artículo 43.2 de la LPACAP. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, dado que en la notificación del acuerdo de apertura del procedimiento se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entendería el mismo como propuesta de resolución. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 PRIMERO: La denunciante ha puesto de manifiesto a esta Agencia que se han realizado accesos a su historia clínica desde el centro de salud de Ribadesella, donde había prestado sus servicios como trabajadora, accesos que no tienen justificación asistencial, durante el periodo comprendido entre el 15 de agosto y el 15 de octubre de 2016. Que en el mes de enero de 2017 solicitó ante el hospital Grande Covian de Arriondas, información sobre las personas que habían accedido a su Historia clínica, durante ese periodo. Que en febrero de 2017 la Directora del Hospital, le entregó un informe de trazabilidad que aporta con su denuncia, y en marzo de 2017 solicitó información sobre unos accesos realizados desde el centro de salud de Ribadesella. La denunciante aporta constancia de que ha solicitado la apertura de expediente disciplinario por los accesos injustificados a su historia clínica, ante la Secretaría General Técnica del SESPA. SEGUNDO: La Secretaría General Técnica del SESPA ha aportado, a solicitud de la Inspección de Datos, información respecto de la solicitud de accesos a la historia clínica de la denunciante y en concreto aportan el informe del facultativo de atención primaria a quien correspondía la clave utilizada para los accesos, quien manifiesta que alguien debió usurpar su identidad. TERCERO: La Secretaría General Técnica del SESPA ha informado de que en el año 2016, en la Gerencia del Área Sanitaria VI, hubo problemas de gestión de las claves de identidad de los profesionales y se detectó, como consecuencia de las investigaciones, una práctica habitual, ya cortada, de cesión de claves de unos profesionales a otros. Esto hace difícil la investigación de quién realizó el acceso a la historia clínica de la denunciante. En septiembre de 2017, se realizó una advertencia recordatorio a todo el personal sanitario para evitar la creciente incidencia de incumplimiento de la normativa. Se han emitido instrucciones dirigidas a todo el personal sanitario con las obligaciones de los profesionales respecto a la intimidad de los pacientes. Estas instrucciones se emitieron con motivo de la apertura de varios expedientes disciplinarios e incluso condenas penales a profesionales. Se han cargado en las pantallas de inicio de las aplicaciones Selene y Milenium, directrices al respecto. Se ha remitido un Recordatorio sobre Accesos a la Historia Clínica, en el que se expone la responsabilidad del personal en el acceso indebido a los Historiales médicos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 II La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. Su artículo 7, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último, en su artículo 16 determina cuales son los “Usos de la historia clínica”: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. De los hechos probados en este procedimiento, se deduce que el Servicio de Salud del Principado de Asturias, en su calidad de responsable del tratamiento de los datos de salud contenidos en las historias clínicas de sus pacientes, debió adoptar las medidas necesarias para impedir cualquier acceso inconsentido a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que se han constatado accesos a los datos relacionados con la salud de la denunciante sin justificación asistencial. Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. No hay duda de que el acceso a los datos personales de la denunciante lleva a la conclusión de que las medidas de seguridad no evitaron el acceso de personas no autorizadas a los datos de carácter personal relacionados con la salud. La Secretaría General Técnica del SESPA ha informado de que en la Gerencia del Área Sanitaria VI hubo problemas de gestión de las claves de los profesionales, lo que dificulta la investigación del acceso a la historia clínica de la denunciante. Con relación a las actuaciones llevadas a cabo para la resolución de este problema, el SESPA informa de que en septiembre de 2017, se realizó una advertencia recordatorio a todo el personal sanitario. Se emitieron instrucciones con las obligaciones de los profesionales respecto a la intimidad de los pacientes, con motivo de la apertura de varios expedientes disciplinarios e incluso condenas penales a profesionales. Se cargaron en las pantallas de inicio de las aplicaciones Selene y Milenium, directrices al respecto. El artículo 91 del Reglamento de desarrollo de la LOPD, respecto del Control de acceso, señala: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Por otra parte, el artículo 93 del Reglamento de desarrollo de la LOPD señala: “Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” Estos preceptos inciden en las medidas de seguridad que se vulneraron en esta ocasión, toda vez que se produjeron accesos al sistema por parte de usuarios sin autorización para ello. En este sentido, la Audiencia Nacional en numerosas Sentencias, entre otras la de 24 de marzo de 2015, indica: “Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros.” Además la Audiencia Nacional, en varias sentencias ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En definitiva, Servicio de Salud del Principado de Asturias, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para impedir el acceso no autorizado a la información de carácter personal de la denunciante, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. IV El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” Si bien el Servicio de Salud del Principado de Asturias ha informado de las acciones adoptadas una vez conocido el problema y de las medidas de seguridad implantadas, se considera conveniente recordar que estas medidas deben ir acompañadas de un seguimiento efectivo, de conformidad con lo establecido en la LOPD y en su Reglamento de desarrollo. Así en el artículo 103, referido al Registro de accesos, entre las medidas de seguridad de nivel alto (las necesarias para los datos de salud), establece que una vez al mes se deben realizar controles de los accesos registrados haciendo un informe de las revisiones realizadas y los problemas detectados. En el presente caso ha quedado acreditado que el Servicio de Salud del Principado de Asturias, no adoptó las medidas necesarias que garantizasen la seguridad de los datos de carácter personal y evitasen su alteración, pérdida, tratamiento o acceso no autorizado, al no haber impedido el acceso de terceras personas no autorizadas a los datos personales de la denunciante con información relativa a su salud. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR al SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS la adopción de medidas correctoras, toda vez que ya se han hecho las apreciaciones pertinentes y que se ha constatado la adopción de medidas correctoras adecuadas para evitar en el futuro una nueva infracción del artículo 9.1 de la LOPD. TERCERO: NOTIFICAR la presente resolución al SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es