← España

AAPP-00017-2013

1/18 Procedimiento Nº AP/00017/2013 RESOLUCIÓN: R/02217/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00017/2013, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 10 de julio de 2012 y 10 de septiembre de 2012, tienen entrada en esta Agencia escritos de A.A.A., en el que expone los siguientes hechos: El Complejo Hospitalario Universitario Insular Materno Infantil de las Palmas de Gran Canaria, donde presta sus servicios desde hace aproximadamente tres años, cuenta con una Unidad de Prevención de Riesgos Laborales que no tiene inscrito el fichero de las historias clínicas de los empleados en el Registro General de Protección de Datos, ni aplica la normativa vigente en materia de protección de datos en cuanto a información a los trabajadores y medidas de seguridad del fichero. Asimismo, manifiesta, que tampoco se informa a los pacientes en relación al artículo 5 de la LOPD, ni existe un procedimiento para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición de los mismos. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 4 de marzo de 2013, se realiza inspección en los locales del Complejo Hospitalario Universitario Insular Materno Infantil (en adelante el Complejo Hospitalario), en la que se pusieron de manifiesto los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid 1.1 El Complejo Hospitalario Universitario Insular Materno Infantil, se compone de dos hospitales el Hospital Insular y el Materno Infantil. 1.2 Con relación a la información sobre protección de datos a los pacientes, no son informados de forma específica sobre el artículo 5 de la LOPD, no obstante en diferentes zonas del hospital son colocados carteles informando sobre los derechos y deberes del paciente, entre los que se incluye información con relación al acceso a la historia clínica, así como a la www.agpd.es sedeagpd.gob.es 2/18 confidencialidad de la información, no obstante no se informa de la inclusión de los datos en un fichero. Para el ejercicio del derecho de acceso, dispone de dos impresos a disposición de los pacientes, copia de los cuales se adjuntan al Acta. 1.3 Por otra parte, la información que consta en dichos carteles es la especificada por la Consejería de Sanidad en la Orden de 28 de febrero de 2005, por la que se aprueba la carta de los derechos y deberes de los pacientes y usuarios sanitarios y se regula su difusión. 1.4 La Consejería de Sanidad del Servicio Canario de Salud, cuenta, entre otros con un fichero inscrito en el Registro General de Protección de Datos denominado GESTIÓN CLÍNICA PASIVO HIS, cuya finalidad es INFORMACION DE GESTION DE PACIENTES EN AREAS DE ADMISIÓN, CONSULTAS EXTERNAS Y URGENCIAS, con el código de inscripción ***COD.1. Dicho fichero es el utilizado también para la inclusión de la información relativa a los reconocimientos llevados a cabo en la Unidad de Prevención de Riesgos Laborales. No obstante, para este fin solo dispone de fichero en papel (no automatizado), cuyo encargado de su tratamiento es la Unidad de Prevención de Riesgos Laborales. 1.5 La Unidad de Prevención de Riesgos Laborales depende orgánicamente de la Consejería de Sanidad, Secretaría General Técnica, aunque la dependencia funcional es del Complejo Hospitalario. 1.6 La Unidad de Prevención de Riesgos Laborales comienza su funcionamiento en el Complejo Hospitalario en el mes de enero de 2010, siendo anteriormente prestado dicho servicio por la empresa MEDYCSA, con quien la Consejería de Sanidad tenía suscrito un contrato de prestación de servicios con esta finalidad, el cual fue rescindido con fecha 15 de noviembre de 2010. 1.7 MEDYCSA, no ha entregado ninguna historia clínica al Complejo Hospitalario. Cuando se necesita información sobre algún trabajador, se solicita a través de la Consejería de Sanidad, para que le sea requerido a MEDYCSA. 1.8 En la actualidad, el servicio prestado en la Unidad de Prevención de Riesgos Laborales se dirige únicamente a dos colectivos, dado que cuentan con un solo Facultativo que imposibilita el reconocimiento periódico a todos los trabajadores: 1.8.1 C/ Jorge Juan, 6 28001 – Madrid Reconocimientos médicos obligatorios al personal de riesgo del Hospital, derivado del puesto que desempeñan y en base a la normativa existente sobre Prevención de Riesgos Laborales. www.agpd.es sedeagpd.gob.es 3/18 1.8.2 C/ Jorge Juan, 6 28001 – Madrid Solicitudes por parte de los trabajadores de adaptación del puesto de trabajo. 1.9 La información clínica obtenida en estos reconocimientos es incluida en la historia clínica del trabajador en formato papel, la cual se encuentra almacenada en la Unidad de Prevención de Riesgos Laborales. 1.10 La Unidad de Prevención, cuenta con cuatro personas autorizadas para acceder a los datos clínicos incluidos en las historias de los trabajadores, un Facultativo, dos enfermeros y un auxiliar administrativo. 1.11 Además, presta servicios en esa Unidad un Técnico de Prevención de Riesgos Laborales contratado por el Complejo Hospitalario, el cual es el encargado de la evaluación de los riesgos de los puestos de trabajo que el trabajador pide la adaptación, con el fin de que el facultativo pueda elaborar el correspondiente informe de “Aptitud”. El Técnico no tiene acceso a los datos de salud de los trabajadores. 1.12 Con relación a la información sobre el artículo 5 de la LOPD a los trabajadores, existe un impreso en la Intranet donde se hace referencia a la Ley Orgánica 15/1999 que debe ser suscrito por el propio trabajador, en el que se le informa de que la información recogida será tratada con la debida confidencialidad, conforme a la citada Ley, aunque no hace mención específica al almacenamiento de la información. 1.13 Mediante comprobaciones en la Unidad de Prevención de Riesgos Laborales del Hospital, se verifica que en el acceso a la zona donde se realizan los reconocimientos médicos y donde se encuentra el archivo de las historias clínicas, existe una puerta que se encuentra abierta hasta las 15 horas excepto el miércoles que está abierta hasta las 17:30, ya que es ese el horario de las personas que allí trabajan, fuera de ese horario la puerta se encuentra cerrada con llave, según manifestaciones del Técnico de Prevención que trabaja en la Unidad de Prevención de Riesgos Laborales. 1.14 Se verifica que el despacho donde se encuentra el archivo de historias clínicas se encuentra cerrado con llave, y que según manifestaciones del responsable de la Unidad de Prevención de Riesgos Laborales, solo pueden acceder el personal autorizado por el Facultativo de la Unidad de Prevención de Riesgos Laborales, el cual es el encargado de otorgar los permisos al mismo. 1.15 Cuando se necesita acceder a la información contenida en las historias clínicas, es necesario registrar el acceso, mediante la cumplimentación del impreso denominado REGISTRO DE LA GESTION DIARIA DEL ARCHIVO FISICO DE LA UNIDAD DE PRL DEL EL COMPLEJO HOSPITALARIO, se verifica que dicho documento se encuentra encima de una mesa en la www.agpd.es sedeagpd.gob.es 4/18 antesala al archivo, donde consta: Nombre del titular del expediente, DNI del trabajador, Persona que lo retira, Fecha de salida, Destino, Fecha de devolución, Firma de Salida y Firma de Entrada. 1.16 Una vez solicitada la llave de entrada al despacho donde se encuentra el archivo de historias clínicas, se verifica que en su interior se encuentran 6 archivadores metálicos con cuatro cajones cerrados con llave cada uno de ellos, donde se encuentran almacenadas las historias clínicas clasificadas por orden alfabético. Según manifiesta el representante de la Unidad de Prevención de Riesgos Laborales, se encuentran almacenadas aproximadamente 2000 historias, no habiéndose trasladado hasta la fecha ninguna de ellas al Fichero de Pasivos. 1.17 Se accede a la Historia Clínica de Dña. A.A.A., la cual solicitó la Adaptación de su puesto de trabajo, comprobándose que en su interior se encuentra un documento de Consentimiento Informado del Personal de la Consejería de Sanidad para la realización de exámenes médicos, suscrito por la interesada con fecha 7 de septiembre de 2012, y en el que consta que los resultados del reconocimiento serán tratados con la debida confidencialidad según exige la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo….. TERCERO: De todo lo anterior se desprende que la entidad SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL dispone de un Servicio de Prevención de Riesgos Laborales propio que debe contar con su correspondiente disposición de creación del fichero de datos personales que se tratan en el mismo, en los términos previstos en el artículo 20 de la LOPD. De igual manera debe cumplir con el deber de informar a los afectados, en los términos establecidos en el artículo 5.1 de la LOPD y ello respecto tanto de los pacientes como de los trabajadores del Centro. CUARTO: Con fecha 12 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL por la presunta infracción de los artículos 5 y 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como leve y grave en los artículos 44.2.

  1. c)y 44.3.
  2. a)respectivamente, de la citada Ley Orgánica. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el SERVICIO CANARIO DE SALUDCOMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL presentó escrito de alegaciones en el que, en síntesis, manifestaba que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 “...A la vista de las consideraciones expuestas, cabe concluir respecto de la presunta infracción del deber de información establecido en el artículo 5.1 de la LOPD esta se realiza de conformidad con lo establecido por la Oficina de Defensa de los Derechos de los Usuarios Sanitarios, a pesar de poder tratar dichos datos sin necesidad de recabar el consentimiento expreso de los interesados, toda vez que los mismos se utilizan para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, de conformidad con el artículo 7.6 de la LOPD referenciado anteriormente. Respecto del presunto incumplimiento del deber de publicación en el Boletín Oficial del Estado de la creación del fichero de datos personales que se tratan en la Unidad de Prevención de Riesgos Laborales, deducimos que existen motivos sobrados para entender que el mismo forma parte del registro fichero denominado Historia Clínica de Atención Especializada, y por tanto no se estaría incurriendo en tal incumplimiento, toda vez que, como se ha expuesto en la alegación tercera, el responsable del fichero es la Dirección del SCS , declarado como parcialmente automatizado, estando integrado por todos los Centros del citado Organismo y, en consecuencia, por este Complejo Hospitalario.” Concluyen las alegaciones solicitando que se proponga la declaración de no existencia de infracción o responsabilidad y, se dicte Resolución en la que se ordene el archivo de las actuaciones. SEXTO: Con fecha 6 de agosto de 2013 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05107/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00017/2013 presentadas por el COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL, y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 2 de septiembre de 2013, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el Servicio Canario de Salud-Complejo Hospitalario Universitario Insular Materno Infantil ha infringido lo dispuesto en los artículos 5 y 20 de la LOPD, infracciones tipificadas como leve y grave en los artículos 44.2.
  3. c)y 44.3.
  4. a)respectivamente, de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 5 y 20 de la mencionada Ley. OCTAVO: Notificada la propuesta de resolución el Servicio Canario de Salud-Complejo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 Hospitalario Universitario Insular Materno Infantil presentó escrito de alegaciones en el que comunica: “A la vista de las consideraciones expuestas, cabe concluir respecto del presunto incumplimiento del deber de publicación en el Boletín Oficial del Estado de la creación del fichero de datos personales que se tratan en la Unidad de Prevención de Riesgos Laborales, que existen motivos sobrados para entender que el mismo forma parte del registro fichero denominado Historia Clínica de Atención Especializada, y por tanto no se estaría incurriendo en tal incumplimiento, toda vez que, como se ha expuesto en la alegación quinta los datos que integran la historia clínico-laboral, son estrictamente de salud y recabados con la finalidad de diagnóstico, tratamiento así como para facilitar la asistencia sanitaria y el seguimiento del estado de los pacientes, entendiendo que en esos casos, los trabajadores son, a su vez, pacientes; no siendo este el medio para determinar el cumplimiento en materia de prevención de riesgos laborales.” Concluyen las alegaciones solicitando que se declare la no existencia de infracción o responsabilidad y se dicte Resolución en la que se ordene el archivo de las presentes actuaciones. HECHOS PROBADOS PRIMERO: En la inspección llevada a cabo por esta Agencia de Protección de Datos el 4 de marzo de 2013 en el Complejo Hospitalario Universitario Insular Materno Infantil de las Palmas de Gran Canaria (en adelante el Complejo Hospitalario), se puso de manifiesto que esta entidad cuenta con un servicio de Prevención de Riesgos Laborales propio que depende orgánicamente de la Consejería de Sanidad, Secretaría General Técnica, aunque la dependencia funcional es del Complejo Hospitalario. Este servicio era prestado antes por la empresa MEDYCSA, con quien la Consejería de Sanidad tenía suscrito un contrato de prestación de servicios con esta finalidad. (folios 14 a 56) SEGUNDO: Se manifiesta durante la inspección que la Consejería de Sanidad del Servicio Canario de Salud, cuenta, entre otros con un fichero inscrito en el Registro General de Protección de Datos denominado “GESTIÓN CLÍNICA PASIVO HIS”, cuya finalidad es “INFORMACION DE GESTION DE PACIENTES EN AREAS DE ADMISIÓN, CONSULTAS EXTERNAS Y URGENCIAS”. En la inspección los representantes del Complejo hospitalario manifestaron que este fichero es el utilizado para la inclusión de la información relativa a los reconocimientos llevados a cabo en la Unidad de Prevención de Riesgos Laborales y que la información clínica obtenida en los reconocimientos se incluye en la historia clínica del trabajador que está almacenada en la Unidad de Prevención de Riesgos Laborales. TERCERO: Con relación a la información sobre protección de datos a los pacientes, se puso de manifiesto que no son informados de forma específica sobre el artículo 5 de la LOPD, no obstante en diferentes zonas del hospital están colocados carteles informando sobre los derechos y deberes del paciente, entre los que se incluye información con relación al acceso a la historia clínica, así como a la confidencialidad de la información, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 no obstante no se informa de la inclusión de los datos en un fichero. Para el ejercicio del derecho de acceso, dispone de dos impresos a disposición de los pacientes, copia de los cuales se adjuntan al Acta. (folios 14 a 56) CUARTO: Con relación a la información sobre los extremos previstos en el artículo 5 de la LOPD a los trabajadores, se manifiesta durante la inspección que existe un impreso en la Intranet donde se hace referencia a la Ley Orgánica 15/1999 que debe ser suscrito por el propio trabajador, en el que se le informa de que la información recogida será tratada con la debida confidencialidad, conforme a la citada Ley, aunque no hace mención específica al almacenamiento de la información. En la historia clínica de la denunciante a la que se accede durante la inspección se comprobó que incluye un Consentimiento informado para la realización de exámenes médicos suscrito por ella y en el que consta que los resultados serán tratados con la debida confidencialidad según exige la LOPD. (folios 14 a 56) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se plantea el incumplimiento del deber de información en el momento de la recogida de los datos personales previsto en el artículo 5 de la LOPD, al no informar a los pacientes a los que se atiende en el Centro ni a los empleados a los que se realizan reconocimientos médicos en la Unidad de Prevención de Riesgos Laborales. Dicho incumplimiento aparece tipificado como infracción leve en el artículo 44.2.
  6. c)de la LOPD, que considera como tal “Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información que señala el artículo 5 de la presente Ley”. En el citado artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18
  10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  12. c)y
  13. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo, a diferencia de la hoy derogada Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, que sólo se refería a finalidades “legítimas”, que las mismas sean “determinadas, explícitas y legítimas”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 En este caso, se ha comprobado que la entidad denunciada no facilita a sus pacientes y empleados la información prevista legalmente en materia de protección de datos en el momento de la recogida de datos personales de salud. III En principio, el tratamiento de datos personales en el ámbito laboral por parte de la empresa en que presta sus servicios un trabajador, se encuentra legitimado por la existencia de una relación contractual cuyo cumplimiento lo hace necesario según expresa el artículo 6.2 de la LOPD. Por su parte, el artículo 7.6 de la LOPD permite el tratamiento de datos personales, entre los que se encuentran los de salud, sin el consentimiento expreso previsto para ese tipo de datos, cuando resulte necesario para la prevención o el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios siempre que se realice por profesional sanitario o por otra persona sujetos a obligación de secreto. Sin embargo, estas excepciones al consentimiento para el tratamiento de los datos personales, no eximen al responsable del fichero del deber de información en el momento de la solicitud de datos personales que establece el art. 5 de la LOPD, que, como ya se ha visto, forma parte del contenido esencial del derecho a la protección de datos, tanto para un tratamiento que requiera consentimiento como en el supuesto de que no lo requiera por encontrase habilitado por causas admitidas por la Ley. En el ámbito laboral la información en la recogida de datos personales es una cuestión particularmente importante, y las organizaciones deben tener en cuenta tanto el procedimiento que se emplee para la información como el momento en que se proceda a la captación de los datos personales, así como las particularidades de cada momento de la relación laboral: la selección de personal, la contratación, el desarrollo de la prestación. Siempre será además necesario informar al trabajador de cualquier cambio que afecte al tratamiento de sus datos personales como la aparición de nuevas finalidades o nuevos tratamientos. Por otra parte y con relación a los datos especialmente protegidos, la LOPD establece varias categorías entre las que se encuentran los datos que se refieren a la salud como ocurre en este caso con los datos que se recaban por la entidad denunciada por medio del cuestionario de salud. Estos datos pertenecen a la parte más íntima de la persona y por ello resultan merecedores de una especial protección lo que obliga a disponer de procedimientos que garanticen una adecuada información en la recogida de estos datos. En estos casos se acentúa la importancia del cumplimiento de este deber. Es necesario además prestar especial atención al principio de calidad y en particular a la proporcionalidad del tratamiento, de manera que habrán de ser los datos adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, según establece el artículo 4.1 de la LOPD. Los datos personales que se refieren a la salud de los trabajadores constituyen su historia clínica que, en el ámbito del trabajo, es el documento que recoge toda la información generada en el desarrollo de las funciones de vigilancia y control de la salud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 de los trabajadores. Su contenido está previsto en la legislación vigente, desde lo que expresa la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, sobre la historia clínica diciendo que debe incorporar toda la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente, hasta lo previsto en el artículo 37.3.
  14. c)del Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención. La historia clínica laboral tiene como finalidad esencial ayudar a garantizar una asistencia adecuada a los trabajadores dentro de la empresa, que al contener el proceso preventivo-asistencial prestado a cada trabajador resulta el instrumento adecuado para la planificación y gestión de los servicios de prevención de riesgos laborales. Deben establecerse procedimientos para garantizar los derechos de acceso, rectificación y cancelación de los trabajadores a su historia clínica laboral. Con relación a la historia clínica de los pacientes, su regulación se encuentra en el capítulo V de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, donde se recoge su definición, archivo, contenido, usos, conservación, derechos de acceso y lo relativo a su custodia. El presente procedimiento se inicia como consecuencia de una denuncia presentada en esta Agencia que comunica la falta de información de los extremos previstos en el artículo 5 de la LOPD “sobre el derecho de protección de datos personales a disposición de los pacientes y trabajadores del centro”. En la inspección de 4 de marzo de 2013 los representantes de la entidad denunciada manifestaron que los pacientes no son informados de forma específica sobre el artículo 5 de la LOPD, no obstante en diferentes zonas del hospital están colocados carteles informando sobre los derechos y deberes del paciente, entre los que se incluye información con relación al acceso a la historia clínica, así como a la confidencialidad de la información, no obstante no se informa de la inclusión de los datos en un fichero. Para el ejercicio del derecho de acceso, dispone de dos impresos a disposición de los pacientes, copia de los cuales se adjuntan al Acta. Con relación a la información sobre los extremos previstos en el artículo 5 de la LOPD a los trabajadores, se manifiesta durante la inspección que existe un impreso en la Intranet donde se hace referencia a la Ley Orgánica 15/1999 que debe ser suscrito por el propio trabajador, en el que se le informa de que la información recogida será tratada con la debida confidencialidad, conforme a la citada Ley, aunque no hace mención específica al almacenamiento de la información. En la historia clínica de la denunciante a la que se accede durante la inspección se comprobó que incluye un Consentimiento informado para la realización de exámenes médicos suscrito por ella y en el que consta que los resultados serán tratados con la debida confidencialidad según exige la LOPD. En los carteles que informan de la carta de derechos y deberes de pacientes y usuarios del Sistema Canario de la salud, que se manifiesta están colocados en diferentes zonas del hospital, se informa de las condiciones en que se prestan los servicios sanitarios en el hospital, y al igual que el alegado “Consentimiento informado para la realización de exámenes médicos” que firman los empleados para sus reconocimientos médicos, no incluyen información alguna sobre el tratamiento de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 datos personales. En dicha inspección se ha constatado que no existe ningún protocolo establecido para informar, previamente a la solicitud de datos personales, a los afectados, tanto pacientes a los que se trata en el centro, como trabajadores a los que se realizan reconocimientos médicos, con relación al artículo 5 de la Ley Orgánica 15/1999. Se ha constatado que en el centro denunciado no se informa de que los datos personales van a incluirse en un fichero, que se van a tratar con una finalidad determinada, quienes van a ser los destinatarios de la información, de la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición, de la identidad y dirección del responsable del tratamiento y de los demás extremos previstos en el artículo 5 mencionado, y no se informa a pacientes ni a empleados. Esta información deberá figurar en los impresos en los que se recojan datos personales a los afectados y, en un ámbito como el centro denunciado, un hospital, es recomendable que se exponga también en carteles informativos. En consecuencia, ha quedado acreditado que la entidad denunciada incumple el deber de informar establecido en el artículo 5 de la LOPD, al no proporcionar a sus empleados y pacientes la información legalmente prevista respecto de la recogida de datos personales. En las alegaciones presentadas al acuerdo de inicio se manifestó que, respecto a la infracción imputada del artículo 5 de la LOPD, el deber de información se lleva a cabo conforme a lo establecido por la Oficina de Defensa de los Derechos de los Usuarios Sanitarios, y ello a pesar de que no hay necesidad de recabar el consentimiento expreso de los interesados porque sus datos personales se utilizan para la prevención o diagnóstico médicos, prestación sanitaria o tratamientos médicos o gestión de los servicios sanitarios conforme el artículo 7.6 de la LOPD. Respecto de esta cuestión cabe reiterar que la infracción aquí imputada es la vulneración del deber de información y que no se imputa la falta de consentimiento para el tratamiento de los datos personales de pacientes y trabajadores del centro denunciado. No se ha cuestionado el consentimiento del interesado, del que la entidad denunciada se encuentra eximida, como alega, por el artículo 7.6 de la LOPD, sin embargo la existencia de consentimiento no exime al responsable del fichero del deber de información que establece el artículo 5 de la LOPD. En el presente caso la entidad denunciada se encuentra legitimada para el tratamiento de los datos personales de sus pacientes y trabajadores, lo que no le exime del deber de informar del tratamiento de datos que se realiza en toda la extensión prevista en el ya mencionado artículo 5, información que no se proporciona en el mencionado centro denunciado. Debe informarse a los interesados a los que se soliciten datos personales de que existe un fichero de datos personales, la finalidad para la que se recogen y a quien se destinan, si es obligatoria o no su respuesta, de las consecuencias de la obtención de los datos o de la negativa a suministrarlos, de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición e informar de la identidad del responsable del tratamiento. En la inspección llevada a cabo por los servicios de esta Agencia el día 4 de marzo de 2013, en el centro denunciado, se constató que no se informa a los pacientes con relación al tratamiento de sus datos personales. Se aporta la Carta de Derechos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 Deberes de los pacientes usuarios del Sistema Canario de la Salud donde se informa del derecho de acceso a la historia clínica y de la confidencialidad de la información. Se aporta también la constatación de la identidad de quien recibe un informe médico, que se recoge en impreso aportado como “solicitud de informe médico”. Este derecho se encuentra recogido en el artículo 5 de la Ley 41/2002 que expresa: “El titular del derecho a la información es el paciente”. Estos Derechos, entre otros, se encuentran recogidos en la Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, y no coinciden con el Derecho reconocido en el artículo imputado en el presente procedimiento y que persigue la información previa a la recogida de datos personales a los interesados a los que se soliciten que habrá de ser expresa, precisa e inequívoca, de los extremos previstos en dicho artículo. Con respecto a los trabajadores, el tratamiento de sus datos personales no requiere tampoco su consentimiento al existir un contrato laboral cuyo desarrollo, cumplimiento y control lo hace necesario y los datos que vayan a tratarse sean los imprescindibles y necesarios para llevar a cabo esa relación laboral. Datos como nombre y apellidos, dirección, NIF, dato de discapacidad en el marco de la relación laboral, etc. Al igual que ocurre con el caso de los pacientes, la empresa sí está obligada a cumplir su obligación de información al trabajador del tratamiento de sus datos personales. Lo mismo ocurre en materia de prevención de riesgos laborales en un caso como el presente en el que este servicio se asume por la propia empresa, habrá de informarse de este tratamiento de datos a los trabajadores. En esta materia se tratan un tipo de datos personales que no son los imprescindibles para esa relación laboral y además no se tratan para la finalidad exceptuada de consentimiento en el artículo 7.6 de la LOPD, los datos relativos a la salud de los trabajadores para la prevención de los riesgos laborales. No debe olvidarse que el deber de información forma parte del contenido esencial del derecho a la protección de datos, tanto para un tratamiento que requiera consentimiento como en el supuesto de que no lo requiera por encontrase habilitado por causas admitidas por el artículo 6 de la LOPD, en este caso, por la habilitación legal recogida en el artículo 7.6 de la misma Ley Orgánica, habilitación que, como ya se dijo, no exime del deber de informar que no se cumple en el centro denunciado. IV El artículo 44.2.
  15. c)de la LOPD considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. En este caso, ha quedado acreditado que la entidad denunciada recababa datos personales de sus pacientes y empleados sin facilitarles la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 Se imputa al SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL la infracción del artículo 20 de la LOPD que señala que: “1. La creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el “Boletín Oficial del Estado” o Diario Oficial correspondiente”. 2. Las disposiciones de creación o de modificación de ficheros deberán indicar:
  16. a)La finalidad del fichero y los usos previstos para el mismo.
  17. b)Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos.
  18. c)El procedimiento de recogida de los datos de carácter personal.
  19. d)La estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo.
  20. e)Las cesiones de datos de carácter personal y, en su caso, las transferencias de datos que se prevean a países terceros.
  21. f)Los órganos de las Administraciones responsables del fichero.
  22. g)Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición.
  23. h)Las medidas de seguridad con indicación del nivel básico, medio o alto exigible. 3. En las disposiciones que se dicten para la supresión de los ficheros se establecerá el destino de los mismos o, en su caso, las previsiones que se adopten para su destrucción” Dicha infracción aparece tipificada como grave en el artículo 44.3.
  24. a)de la LOPD que considera como tal “Proceder a la creación de los ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el Boletín Oficial del Estado o Diario oficial correspondiente”. En el presente caso, se ha denunciado la falta de inscripción del fichero de datos personales correspondiente al Servicio de Prevención de riesgos laborales por parte de la entidad imputada y en las actuaciones de investigación practicadas se constató que por el SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL no se ha dictado disposición de creación de los ficheros denunciados. En el presente caso la entidad denunciada manifiesta disponer de un servicio de prevención de riesgos laborales propio con una Unidad de Prevención de Riesgos Laborales situada en el Complejo Hospitalario objeto de denuncia. Con esta situación, la entidad es la responsable del fichero que se genera en la gestión de los datos de salud de sus trabajadores. Para esta gestión la entidad dispondrá de distintos perfiles y facultades de acceso a esos datos, que serán plenos para el personal sanitario y limitadísimos para la gerencia hasta el punto de limitarse a la condición de apto/no apto para el puesto de trabajo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 En el curso de la inspección llevada a cabo en la entidad el 4 de marzo de 2013 se manifestó que los datos personales obtenidos de los trabajadores en los reconocimientos de la Unidad de prevención de riesgos laborales se incluyen en el fichero denominado GESTIÓN CLÍNICA PASIVO HIS, cuya finalidad es INFORMACION DE GESTION DE PACIENTES EN AREAS DE ADMISIÓN, CONSULTAS EXTERNAS Y URGENCIAS, registrado en el Registro General de Ficheros de esta Agencia. En las alegaciones al acuerdo de inicio del expediente se manifiesta que el archivo de la Unidad de prevención de riesgos laborales pertenece al fichero denominado HISTORIA CLÍNICA DE ATENCIÓN ESPECIALIZADA, cuya finalidad “es el tratamiento de los datos de salud para el diagnóstico, tratamiento así como facilitar la asistencia sanitaria y el seguimiento del estado de los pacientes incorporados, si bien en el caso de los datos recabados en la Unidad de Prevención de Riesgos Laborales, al ser datos de salud de trabajadores del Centro se ubican en un espacio físico separada para diferenciarlas de las historias clínicas de los pacientes”. La finalidad declarada de este fichero es la de: “RECOGER TODA LA INFORMACION RELEVANTE PARA EL DIAGNOSTICO Y TRATAMIENTO, DE UNA MANERA VERAZ Y ACTUALIZADA, PARA FACILITAR LA ASISTENCIA SANITARIA Y EL SEGUIMIENTO DEL ESTADO DE LOS PACIENTES EN EL AMBITO DE LA ATENCION ESPECIALIZADA”. Y los usos son: “ASISTENCIA SANITARIA A PACIENTES”. En la ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales se encuentran varias menciones a la finalidad, el objeto de la prevención de los riesgos laborales. El artículo 2 sobre “Objeto y carácter de la norma”, en su punto 1 establece: “1. La presente Ley tiene por objeto promover la seguridad y la salud de los trabajadores mediante la aplicación de medidas y el desarrollo de las actividades necesarias para la prevención de riesgos derivados del trabajo. A tales efectos, esta Ley establece los principios generales relativos a la prevención de los riesgos profesionales para la protección de la seguridad y de la salud, la eliminación o disminución de los riesgos derivados del trabajo, la información, la consulta, la participación equilibrada y la formación de los trabajadores en materia preventiva, en los términos señalados en la presente disposición. Para el cumplimiento de dichos fines, la presente Ley regula las actuaciones a desarrollar por las Administraciones públicas, así como por los empresarios, los trabajadores y sus respectivas organizaciones representativas.” El artículo 5 sobre “Objetivos de la política” expresa: “1. La política en materia de prevención tendrá por objeto la promoción de la mejora de las condiciones de trabajo dirigida a elevar el nivel de protección de la seguridad y la salud de los trabajadores en el trabajo.” El artículo 37.3.
  25. c)del Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de los servicios de prevención expone que. “La vigilancia de la salud estará sometida a protocolos específicos u otros medios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 existentes con respecto a los factores de riesgo a los que esté expuesto el trabajador. El Ministerio de Sanidad y Consumo y las Comunidades Autónomas, oídas las sociedades científicas competentes, y de acuerdo con lo establecido en la Ley General de Sanidad en materia de participación de los agentes sociales, establecerán la periodicidad y contenidos específicos de cada caso. Los exámenes de salud incluirán, en todo caso, una historia clínico-laboral, en la que además de los datos de anamnesis, exploración clínica y control biológico y estudios complementarios en función de los riesgos inherentes al trabajo, se hará constar una descripción detallada del puesto de trabajo, el tiempo de permanencia en el mismo, los riesgos detectados en el análisis de las condiciones de trabajo, y las medidas de prevención adoptadas. Deberá constar igualmente, en caso de disponerse de ello, una descripción de los anteriores puestos de trabajo, riesgos presentes en los mismos, y tiempo de permanencia para cada uno de ellos.” La finalidad de la prevención de los riesgos laborales no incluye la asistencia sanitaria y el tratamiento y diagnóstico de los pacientes, en esta ocasión son datos personales de los empleados y el objeto de los datos que de ellos se tratan es el de la mejora de las condiciones de trabajo dirigida a elevar el nivel de protección y mejorar la seguridad y la salud de los trabajadores en el trabajo. En las alegaciones a la propuesta de resolución se insiste en defender que los datos personales recogidos de los trabajadores con motivo de la atención prestada en la Unidad de Prevención de Riesgos Laborales, pueden ser incluidos en el fichero “historia clínica de atención especializada” porque se recogen datos de salud y pueden ser considerados pacientes. Esta alegación ya figura contestada en la propuesta de resolución notificada cuando se expone que la finalidad del fichero de la historia clínica de los pacientes no puede ser la misma que la finalidad del fichero de prevención de riesgos laborales de los trabajadores, que como expresa el citado artículo 5 de la Ley 31/1995 “La política en materia de prevención tendrá por objeto la promoción de la mejora de las condiciones de trabajo dirigida a elevar el nivel de protección de la seguridad y la salud de los trabajadores en el trabajo”. En el presente procedimiento ha quedado acreditado por tanto, la infracción del artículo 20 de la LOPD, tipificada como grave en el artículo 44.3.
  26. a)de dicha norma. El Servicio Canario de Salud-Complejo Hospitalario Universitario Insular Materno Infantil ha incumplido su obligación de dictar la preceptiva disposición de creación del fichero o de los ficheros de los datos personales de los empleados que se tratan en ese hospital con la finalidad de prevención de riesgos laborales, lo que supone una vulneración del artículo 20 de la LOPD, que encuentra su tipificación en el artículo 44.3.
  27. a)de la citada Ley Orgánica. VI El artículo 44.3
  28. a)de la LOPD tipifica como infracción grave la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 “Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el “Boletín Oficial del Estado” o Diario Oficial correspondiente”. El Servicio Canario de Salud-Complejo Hospitalario Universitario Insular Materno Infantil ha incurrido en la infracción descrita, al haber procedido a crear ficheros de titularidad pública y porque comenzó a recoger datos de carácter personal, con anterioridad a la inscripción en el Registro General de Protección de Datos y sin autorización de disposición general publicada en el Boletín Oficial del Estado o Diario oficial correspondiente. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL ha infringido lo dispuesto en los artículos 5 y 20 de la LOPD, tipificadas como leve y grave en los artículos 44.2.
  29. c)y 44.3.
  30. a)respectivamente, de la citada Ley Orgánica.. SEGUNDO: REQUERIR al SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que acrediten el cumplimiento de lo previsto en los artículos 5 y 20 de la LOPD, en concreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 se deberá informar a los pacientes y a los trabajadores de los extremos recogidos en el citado artículo 5 de la LOPD con relación al tratamiento de sus datos personales, y deberá procederse a la publicación de la disposición de creación del fichero de “prevención de riesgos laborales” en el Diario Oficial correspondiente y a su inscripción en el Registro General de Protección de Datos. Para constatar el cumplimiento de lo requerido se inicia un expediente de actuaciones previas con la referencia E/06833/2013 TERCERO: NOTIFICAR la presente resolución al SERVICIO CANARIO DE SALUDCOMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL y a Dª. A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.