1/18 Procedimiento Nº AP/00019/2017 RESOLUCIÓN: R/02824/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00019/2017, instruido por la Agencia Española de Protección de Datos a la entidad Servicio Madrileño de Salud de la Comunidad de Madrid, Dirección General de Coordinación de Asistencia Sanitaria, Gerencia Asistencial de Atención Primaria, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de agosto de 2016 se registra de entrada escrito de Don A.A.A., (en lo sucesivo el denunciante), ampliado mediante escrito presentado con fecha 7 de septiembre de 2016, poniendo de manifiesto que su mujer, con la que se encuentra en proceso de separación, se niega a entregarle su PC y un “pendrive” con información que estaba utilizando en el marco de un estudio clínico que le fue encargado por el Centro de Salud en el que prestaba sus servicios profesionales como médico. Según el denunciante, el PC contenía información relativa a más de 90 pacientes diabéticos de su cupo, con teléfono y datos clínicos de la evolución de su diabetes y patología asociada, recogida para realizar un estudio clínico de aplicación de nuevas tecnologías en el control del paciente diabético en el ámbito de atención primaria. Esta información se actualizaba diariamente para realizar un estudio prospectivo. El pendrive almacenaba, junto con la información de carácter personal de los médicos, datos cuantitativos y cualitativos de los mismos, sus cupos e información referente a su prescripción, a la que tenía acceso como responsable del servicio de farmacia del Centro de Salud. El denunciante ha aportado un escrito firmado por el Director del Centro de Salud Arganda-Felicidad, de fecha 2 de septiembre de 2016, en el que consta: “Por la presente, Certifico que el Dr. D. A.A.A., estaba autorizado a trabajar con los datos clínicos de los pacientes adscritos a su CIAS como parte de su actividad investigadora dentro de los objetivos incluidos en el Contrato de Gestión del Centro de Salud. A su vez, al ser Responsable de la Comisión de Farmacia podía manejar los datos tanto cualitativos como cuantitativos, de la actividad de Farmacia de todos y cada uno de los profesionales médicos de este Centro de Salud, así como de sus datos personales.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia solicitan información al Centro de Salud Arganda-Felicidad, teniendo entrada, con fecha 23 de diciembre de 2016, escrito de la Dirección Asistencial Sureste, Gerencia Asistencial de Atención Primaria del Servicio Madrileño de Salud, en adelante SERMAS, en el que se comunica lo que sigue: El denunciante está adscrito al Centro de Salud Arganda-Felicidad, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 con plaza en el Consultorio de La Poveda, en el que desarrolla actividades propias de un médico de Familia y las correspondientes como Responsable de la Comisión de Uso Racional del Medicamento (URM) de ese Centro de Salud. El Comité Directivo decidió iniciar un plan de mejora de la prescripción para el Contrato Programa 2016, partiendo del análisis del perfil de prescripción de los profesionales, contexto en el que se solicitó al denunciante, responsable del URM, un estudio de la prescripción de cada uno de los médicos adscritos al Centro para identificar patrones de desvío mediante comparativa entre profesionales y los estándares de calidad. El estudio precisaba conocer todos los indicadores definidos en el Contrato Programa y los resultados de los grupos farmacológicos de especial seguimiento, datos que son accesibles al responsable de URM al contar con los permisos necesarios para manejar la aplicación informática que permite conocer el perfil prescriptor de cada uno de los profesionales médicos del Centro. En dicha aplicación se pueden seleccionar los parámetros a analizar de modo que pueda trabajarse de forma anonimizada respecto a la identificación de pacientes. El estudio continuaba con una entrevista personal del citado responsable con cada médico, durante la cual, se le entregaba un informe pormenorizado de su prescripción con los puntos de mejora detectados y consejos para modificarlos. El Proyecto se interrumpió cuando sólo se llevaban tres entrevistas realizadas. El denunciante nunca solicitó autorización para sacar dicha información del Centro de trabajo en ningún formato, por lo que no eran conocedores de este hecho, añadiendo que para realizar el estudio no necesitaba manejar datos de pacientes, tan solo datos numéricos de la prescripción, siempre con las medidas de seguridad y confidencialidad propias de este tipo de estudios. TERCERO: Con fecha 9 de junio de 2017, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio Madrileño de Salud de la Comunidad de Madrid. Dirección General de Coordinación de Asistencia Sanitaria, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en su relación con lo previsto en los artículos 92.2, 97.2 y 101 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. El acuerdo de inicio citado fue notificado al SERMAS con fecha 15 de junio de 2017 CUARTO: En el Hecho Tercero del mencionado acto se señalaba que el procedimiento se iniciaba “como consecuencia de la posible infracción a las medidas de seguridad cometidas por el médico denunciante y cuyo responsable sería el SERMAS. Independientemente de la situación ocasionada por el proceso de separación en el que estaba incurso el denunciante, que se dilucidara, en su caso, en los Tribunales ordinarios, el médico podría llevarse historias clínicas a su domicilio en su ordenador particular o un pendrive, siempre que cumpla las medidas de seguridad obligadas para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 los datos especialmente protegidos, como son los de salud. Así, el Hospital debió autorizar la salida de soportes y/o documentos, salvo que esté autorizada en el documento de seguridad. También debía constar en un registro el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada. Por último, debían estar identificados los soportes y contenido; deberían estar cifrados los datos personales, para garantizar que la información no fuera accesible o manipulada durante su transporte (lo que la habría hecho inaccesible para su ex esposa).” En relación con la referencia efectuada en el mismo al “Hospital” se observa que debe ser sustituida por el “responsable del fichero o tratamiento”, tal y como se justifica en el Antecedente de Hecho Séptimo. QUINTO: Con fecha 11 de julio de 2017 el SERMAS presenta escrito de alegaciones solicitando aclaración de los términos mencionados en el Hecho Tercero del mencionado acuerdo de inicio del procedimiento, para lo cual señalando que: “I.-Al referirse el conjunto del documento a un concreto y determinado Centro de Salud de Atención Primaria, y no a un Hospital, se solicita a la Agencia que concrete cuál es el motivo de hacer referencia a un Hospital, que es un centro de atención Especializada del que no hay más referencias en ninguna de la documentación aportada. II. Por otra parte, la expresión “el Hospital debió autorizar la salida de soportes y/o documentos, salvo que esté autorizada en el documento de seguridad” parece contradictoria en sus términos per se, y tampoco parece estar en consonancia con el sentido del resto del párrafo. Se ruega a la Agencia que aclare cuál es el sentido más correcto de esta expresión”. SEXTO: Con fecha 27 de julio de 2017 se registra de entrada en esta Agencia escrito de alegaciones de la Gerencia Asistencial de Atención Primaria del SERMAS en el que, al amparo del artículo 53.e de la LPACAP, se reiteran las manifestaciones realizadas durante las actuaciones previas de inspección, a las que, en síntesis, añade lo siguiente: - Que antes de acceder a las aplicaciones de explotación de datos e-SOAP, farm@web, consult@web, los usuarios acceden a una advertencia general en la que, según transcriben, se indica que la información extraída está catalogada como muy sensible y de nivel alto de seguridad conforme a la normativa de protección de datos. En dicha advertencia, respecto del tratamiento de la información extraída se señala que tanto si se trata en soporte electrónico, -situación en la que únicamente podrá almacenarse en las carpetas destinadas al efecto en los servidores-, como si se imprime en papel,- supuesto en que deberá estar permanentemente custodiada por la persona responsable y almacenada bajo llave cuando no se utilice-, la información debe permanecer dentro de las instalaciones de la Consejería de Sanidad de la Comunidad de Madrid (en adelante CSCM), no debiendo sacarla salvo autorización expresa. Asimismo, se señala que no deben usarse dispositivos móviles externos (tipo pendrive, smart phone, ordenadores portátiles) para el almacenamiento y traslado de la información. En lo que respecta a los datos que pretendan utilizarse para investigación clínica se advierte que deberán extraerse de manera anonimizada. En caso de precisarse contar con los datos identificativos de los pacientes deberá solicitarse el consentimiento expreso de los titulares de los datos y deberá justificarse su necesidad. En cuanto a copias y autorizaciones se advierte que el usuario no puede copiar, reproducir, publicar de nuevo, cargar, poner, transmitir o distribuir el material en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 línea de ninguna forma o para cualquier otro propósito a menos que previamente obtenga permiso por escrito. Paralelamente, se afirma que cuando se genera una extracción de datos ya dentro de la aplicación, “farm@web”, que era la utilizada por el denunciante para la realización del proyecto de mejora de la gestión de la prescripción farmacéutica de los profesionales del Centro que le fue encargado, aparece un mensaje informando al usuario de que “Este listado es de uso personal y para realizar una tarea puntual, y se debe destruir al haber finalizado la misma”, y en cuya advertencia legal se indica que: “Todo lo que se descargue se considera otorgado por la CSCM con licencia únicamente para el uso por su persona en su condición de profesional sanitario y uso con fines científicos, sin ánimo de lucro. No le está permitido distribuir o vender el material o practicar ingeniería inversa, o ensamblar o convertirlo en cualquier otra forma que puedan utilizar terceras personas.” Se añade que el Anexo a la “Orden 491/2013, de 27 de junio, por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica y de los sistemas de información de la Consejería de Sanidad de la Comunidad de Madrid”, establece un “Decálogo de Buenas Prácticas Para Usuarios de Sistemas de Información de la Consejería de Sanidad”, (BOCM núm. 169), en el que se recogen determinadas pautas de actuación que resultan aplicables a este caso referentes al “Uso de los equipos informáticos” y al “Tratamiento y uso de datos de carácter personal”. Se defiende que con arreglo a dichas medidas, la autorización concedida al denunciante para trabajar con datos de pacientes no le habilitaba para: guardar esos datos en archivos temporales en dispositivos móviles de uso particular, no anonimizar los datos, no encriptar esos archivos, sacar esos archivos de los locales del Centro, facilitar el dispositivo a un tercero, no comunicar al Responsable de Seguridad del Fichero la pérdida del control sobre esos datos de carácter personal, y no procederá la destrucción de los datos de carácter personal una vez que no fueran necesarios para el tratamiento. En consecuencia, no serían aplicables a este caso concreto los términos contenidos en el Hecho Tercero del Acuerdo de Inicio. - En lo relativo a las medidas de seguridad de los sistemas de información, todos los usuarios efectúan una doble identificación antes de acceder a cualquier aplicación que trate datos de carácter personal de los pacientes. Por una parte es necesario validarse para abrir sesión en el escritorio de cada ordenador personal, y por otra, el usuario, si ha sido dado autorizado previamente, deberá identificarse de nuevo para entrar en cada aplicación en concreto. En lo concerniente a las medidas de seguridad relativas al bloqueo de los puertos USB de los PC que tienen acceso a datos clínicos de los pacientes, se afirma que no hay ninguna norma que obligue a restringir su uso y que son herramientas necesarias no sólo para la prestación de asistencia sanitaria en los Centros de Salud de Atención Primaria a los pacientes, puesto que éstos llevan imágenes clínicas o pruebas clínicas almacenadas en sus dispositivos personales, sino también para la conexión de las distintas modalidades de recursos de telemedicina que requieren de estas conexiones para la descarga de información a los dispositivos de almacenamiento del SERMAS. - Atendido que está prohibido el uso de dispositivos portátiles para almacenar datos de carácter personal, así como la salida de cualquier tipo de soporte que los contenga fuera de los locales del Centro, sin autorización expresa, a la Gerencia Asistencial no le consta que sean ciertas las declaraciones del denunciante indicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 que posee datos de carácter personal de pacientes en un dispositivo de su propiedad, a lo que añade que la Agencia no ha aportado prueba alguna que permita demostrar la veracidad de las afirmaciones del denunciante. Por todo lo cual, el procedimiento de infracción se ha iniciado basándose únicamente en el testimonio del denunciante sin cuestionar la veracidad de sus declaraciones, motivo por el cual propone la práctica de la prueba consistente en que se levante acta de inspección por parte de la Agencia que acredite que el denunciante, o un tercero, tienen bajo su custodia en un dispositivo particular datos de carácter personal de pacientes pertenecientes al SERMAS. SÉPTIMO: Con fecha 8 de agosto de 2017 se inicia por la Instructora del procedimiento período de práctica de pruebas, en cuyo marco se acordó practicar las siguientes pruebas: 1. Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/04434/2016. Asimismo, se daban por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00019/2017 presentadas por el SERMAS con fechas 11 y 27 de julio de 2017. Todo ello con su correspondiente documentación adjunta. 2. Solicitar al SERMAS contestación a los siguientes extremos y aportación de la documentación que a continuación se cita: 2.1 Remisión de copia del Contrato de Gestión del Centro de Salud CS Arganda-Felicidad referido a la actividad investigadora desarrollada por el denunciante con datos clínicos de los pacientes adscritos a su CIAS, al que se refiere el certificado expedido el 02/09/2016 por el Director del Centro de Salud. En cualquier caso, se solicitaba aclaración sobre si esta actividad precisaba acceder tanto al CIAS del denunciante como a los CIAS del resto de médicos adscritos al Centro. Igualmente, se solicita aclaración de si el estudio encargado al denunciante, en el marco de uno de los objetivos de equipo para el Contrato Programa de 2016 también comprendía la realización de un estudio clínico de aplicación de nuevas tecnologías en el control del paciente diabético en el ámbito de atención primaria o era un encargo distinto del SERMAS. 2.2 Envío de los términos del encargo asignado al denunciante y de las instrucciones concretas recibidas por éste en relación con la las medidas de a seguir respecto de la extracción de información de carácter personal de los pacientes y obligatoriedad de anonimizar esa información para realizar el estudio encargado.. 2.3 Período en que se desarrolló el proyecto encargado al denunciante hasta su interrupción, con remisión de los registros correspondientes a los accesos realizados por el denunciante en dicho período a los que se refiere el artículo 103 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre. 2.4 En relación con la actividad de Farmacia de los profesionales médicos del Centro de Salud, se solicita: Detalle del tipo exacto de datos cuantitativos y cualitativos a los que podía acceder el denunciante, acreditando si afectaba, o no, a datos personales y de salud concretos de los pacientes. 2.5 Remisión de documentación acreditativa de las fechas desde las que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 aparecen las advertencias contenidas en la alegación quinta del escrito de alegaciones presentado con fecha 27/07/2017 al acceder a las aplicaciones de explotación de datos, en particular, a la aplicación farm@web, así como justificación de que el denunciante tuvo acceso a dichas advertencias mientras desarrolló el estudio encargado. 2.6 Acreditación de que se ha dado traslado al denunciante de las instrucciones internas, directrices o recomendaciones implementadas en orden a hacer efectivas las prácticas citadas en la alegación sexta del escrito de alegaciones de fecha 27/07/2017, contenidas en el Anexo a la Orden 491/2013, de 27 de junio. 2.7 Acreditación de los mecanismos de seguridad y control implantados por el SERMAS a los efectos de que los usuarios de los sistemas no puedan extraer información relativa a los pacientes que no esté anonimizada a los efectos de realizar estudios o investigaciones clínicos para cuyo desarrollo no sea preciso tratar datos identificativos de los pacientes. Conforme a lo previsto en el artículo 77.3 de la LPA-CAP, se acordó rechazar, por improcedente, la práctica de la prueba propuesta por el SERMAS dada la dificultad que entrañaba la realización de una inspección en el domicilio particular de la persona que, al menos en la fecha de la denuncia, tenía en su poder el PC y el pen drive referidos por el denunciante y que, por otra parte, no había accedido a los sistemas informáticos de ese servicio ni trató los datos de los pacientes. Además, se participaba que se consideraba que a través de las pruebas acordadas podrían obtenerse los elementos de juicio necesarios para poder fijar la responsabilidad de ese servicio en el eventual incumplimiento de las medidas relativas a la seguridad de los datos de carácter personal de los pacientes que hayan podido ser tratados por el denunciante en dispositivos portátiles después de ser extraídos de los sistemas del SERMAS. En cuanto a la solicitud de aclaración efectuada por el SERMAS en el escrito de alegaciones registrado de entrada el 11/07/2017 respecto de los términos mencionados en el Hecho Tercero del Acuerdo de Inicio del presente Procedimiento de Declaración de Infracción de Administraciones Públicas, transcrito en el Antecedente de Hecho Tercero anterior, se señalaba que: “estamos ante un error material que puede rectificarse en cualquier momento, conforme establece el artículo 109.2 de la LPA-CAP, de tal modo que la referencia al “Hospital” debe ser sustituida por el “responsable del fichero o tratamiento”, tal y como se desprende del contenido del propio apartado Tercero, en cuyo primer párrafo se señala al SERMAS como responsable de la posible infracción a las medidas de seguridad de los datos derivada de los hechos descritos en los antecedentes de hecho Primero y Segundo del mencionado acuerdo, y como evidencia el contenido de las manifestaciones vertidas en el escrito de alegaciones del 27/07/2017, presentado también fuera de plazo como el anterior . “ 3. Solicitar al denunciante contestación a los siguientes extremos y aportación de la documentación que a continuación se cita: 3.1 Indicación de si se ratificaba, o no, en las manifestaciones efectuadas en los escritos registrados de entrada en esta Agencia con fechas 4 de agosto y 7 de septiembre de 2016 en lo que se refería al tratamiento por su parte de datos de carácter personal de pacientes pertenecientes al SERMAS almacenados en dispositivos portátiles con motivo de dos estudios que estaba realizando, uno referido a la aplicación de nuevas tecnologías en el control del paciente diabético en el ámbito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 de atención primaria y otro de mejora en la prescripción farmacéutica del equipo de médicos del centro de salud CS Arganda-Felicidad. 3.2 En caso de ratificarse, se solicitaba al denunciante envío de la siguiente información y/o documentación: detalle de los datos personales y/o clínicos de los pacientes y profesionales médicos del Centro de Salud utilizados en el desarrollo de las dos investigaciones; remisión de cualquier medio de prueba que permita acreditar el tipo de información contenida en los ficheros creados con motivo de tales estudios; los CIAS utilizados para cada uno de los estudios descritos en sus denuncias; en su caso, motivo por el que no se anonimizaron dichos datos personales y se extrajeron de las dependencias del Centro de Salud mediante un dispositivo móvil incumpliendo las advertencias que, según el SERMAS, aparecían a los usuarios antes de acceder a las aplicaciones de explotación. Se adjunta copia de dichas advertencias a fin de que indique si tuvo acceso, o no, a las mismas antes de recabar los datos personales de los pacientes y profesionales médicos extraídos de la aplicación “farm@web” del SERMAS. 3.3 Indicación de si había recuperado los soportes móviles (PC y pen drive) en los que ha señalado almacenaba la información de carácter personal, en cuyo caso se solicita remisión de copia de la base de datos de más de 90 pacientes diabéticos de su cupo y del contenido del pendrive. Asimismo, con fecha 9 de agosto de 2017, se acordó practicar la prueba consistente en solicitar a Dña. B.B.B., ex esposa del denunciante y en adelante IEA, que facilitase a esta Agencia el pendrive que el denunciante había señalado se encontraba en su poder, y en el que éste almacenaba datos de carácter personal de sus pacientes asociados a un estudio clínico que estaba realizando. Recibido con fecha 18 de agosto de 2017 por el SERMAS el escrito de notificación del acuerdo de práctica de pruebas acordadas, con fecha 25 de agosto de 2017 solicitó la ampliación del plazo otorgado para su práctica ante la extensión de las pruebas solicitadas, acordándose con fecha 29 de agosto de 2017 por la Instructora del procedimiento ampliar el plazo del período de práctica de pruebas inicialmente acordado en el mismo en diez días hábiles, a computar desde el día hábil siguiente al 18 de junio de 2017. Ante la falta de constancia de entrega del envío de notificación de práctica de pruebas acordadas dirigido al denunciante, con fecha 29 de agosto de 2017, se remitió al mismo nuevo escrito para que, en el plazo de diez días hábiles, aportase la información y documentación anteriormente reseñadas. Igualmente, con fecha 29 de agosto de 2017, se reiteró a IEA la práctica de la prueba que había intentado notificársele mediante escrito remitido con fecha 9 de agosto de 2017, siendo ambos escritos devueltos por “Sobrante” (no retirado en oficina) por la Sociedad Estatal Correos y Telégrafos, S.A. OCTAVO: Con fecha 18 de septiembre de 2017 se registra de entrada en esta Agencia escrito del denunciante contestando al punto 3.1 en los siguientes términos: “Vengo a informar a esa Agencia que NO ME RATIFICO en dichas manifestaciones y por ello SOLICITO: Se proceda al archivo del presente expediente en base a lo anteriormente expuesto.“ NOVENO: Con fecha 27 de septiembre de 2017 C/ Jorge Juan, 6 28001 – Madrid se incorpora al procedimiento www.agpd.es sedeagpd.gob.es 8/18 impresión de la Orden 491/2013 de 27 de junio, de la Consejería de Sanidad, por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica y de los sistemas de información de la Consejería de Sanidad de la Comunidad de Madrid. DÉCIMO: Con fecha 29 de septiembre de 2017, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declarase el ARCHIVO de las actuaciones seguidas al Servicio Madrileño de Salud de la Comunidad de Madrid, Dirección General de Coordinación de Asistencia Sanitaria, en el procedimiento de declaración de infracción de las Administraciones Públicas nº AP/00019/2017, la cual consta como notificada al SERMAS con fecha 3 de octubre de 2017. HECHOS PROBADOS 1) El denunciante, presta servicios de médico de familia en el Centro de Salud Arganda-Felicidad, con plazo en el Consultorio de La Poveda, desempeñando también las funciones de responsable de la Comisión de Uso Racional del Medicamento en dicho Centro (URM). (folio 10) 2) El denunciante en su condición de responsable de URM tenía acceso a la aplicación informática farm@web que le permitía conocer el perfil prescriptor de cada uno de los profesionales médicos del Centro. Dicha herramienta informática permite seleccionar los parámetros a analizar en forma anonimizada. (folio 11) 3) El denunciante fue seleccionado para llevar a cabo un estudio de la prescripción de cada uno de los médicos adscritos al citado Centro de Salud para identificar patrones de desvío mediante la comparativa entre profesionales y los estándares de calidad. Para su realización se precisaba conocer todos los indicadores cuantitativos como cualitativos de la actividad de Farmacia de dichos profesionales, al igual que los resultados de los grupos farmacológicos de especial seguimiento. (folios 5, 10 y 11) 4) Con fecha 2 de septiembre de 2016 el Director del Centro de Salud Arganda-Felicidad emitió la siguiente certificación: (folio 6) “Por la presente, Certifico que el Dr. D. A.A.A., estaba autorizado a trabajar con los datos clínicos de los pacientes adscritos a su CIAS como parte de su actividad investigadora dentro de los objetivos incluidos en el Contrato de Gestión del Centro de Salud. A su vez, al ser Responsable de la Comisión de Farmacia podía manejar los datos tanto cualitativos como cuantitativos, de la actividad de Farmacia de todos y cada uno de los profesionales médicos de este Centro de Salud, así como de sus datos personales.” (folio 6) 5) El denunciante no solicitó autorización al SERMAS para sacar del Centro de Trabajo datos de carácter personal extraídos de las aplicaciones informáticas utilizadas para la realización del estudio clínico que le fue encargado, ni en soporte papel ni en soporte electrónico, como tampoco solicitó autorización para poder almacenar y sacar de las instalaciones del Centro dicha información en un dispositivo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 portátil de su propiedad. (folio 11) 6) Con fechas 4 de agosto y 7 de septiembre de 2016 se registraron en esta Agencia sendos escritos del denunciante comunicando que no podía recuperar un pendrive y un PC de su propiedad con datos de carácter personal de los profesionales médicos del Centro de Salud Arganda-Felicidad y de los pacientes adscritos a los cupos de dichos facultativos que se utilizaban para realizar estudios clínicos, toda vez que su mujer, de la que se encontraba en proceso de separación, se negaba a devolvérselos. 7) Durante el período de práctica de pruebas del procedimiento nº AP/00019/2017 el denunciante indicó, mediante escrito registrado en esta Agencia con fecha 15 de septiembre de 2017, que no se ratificaba en las manifestaciones efectuadas en los escritos señalados en el Hecho Probado anterior. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” Atendido que el presente procedimiento afecta a medidas de seguridad que se refieren a datos de salud, ha de acudirse también a lo previsto en cuanto a “Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 especialmente protegidos” en el mencionado artículo 7 de la LOPD, precepto que establece un régimen específicamente protector para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo. En lo que nos interesa, los apartados 3 y 6 del artículo 7 de la LOPD establecen lo siguiente: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” “6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. “ Asimismo, el artículo 8 de la LOPD, respecto de los “Datos relativos a la salud”, establece que: “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” El artículo 79 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” Mientras que el artículo 81.1 del mismo reglamento en cuanto a la “Aplicación de los niveles de seguridad” establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, en el que el tratamiento analizado se refiere a datos de salud, resulta de aplicación el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, que establece que: “3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:
- a)Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 Por su parte, los apartados 1 al 4 del artículo 88 del RLOPD establecen: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
- a)La identificación del responsable o responsables de seguridad.
- b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. “ Las medidas de seguridad aplicables a los ficheros y tratamientos automatizados se regulan en los artículos 89 a 104 del RLOPD, mientras que las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados se regulan en los artículos 105 al 114 de dicho Reglamento. En el presente supuesto, la infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD se vincula al presunto incumplimiento por parte del SERMAS de lo dispuesto en los artículos 92.2 (medidas de seguridad nivel básico), 97.2 (medidas de seguridad de nivel medio) y 101 (medidas de seguridad de nivel alto) del RLOPD. El artículo 92.2 documentos”, dispone: del RLOPD, en relación con la “Gestión de soportes y “2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 de seguridad.” El artículo 97.2 del RLOPD, en relación con la “Gestión de soportes y documentos”, dispone: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.” El artículo 101 del RLOPD, bajo la rúbrica “Gestión y distribución de soportes” dispone: 1. La identificación de los soportes se deberá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas. 2. La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte. Asimismo, se cifrarán los datos que contengan los dispositivos portátiles cuando éstos se encuentren fuera de las instalaciones que están bajo el control del responsable del fichero. 3. Deberá evitarse el tratamiento de datos de carácter personal en dispositivos portátiles que no permitan su cifrado. En caso de que sea estrictamente necesario se hará constar motivadamente en el documento de seguridad y se adoptarán medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.” Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros:”Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” III Sintetizando las previsiones legales reseñadas en el anterior Fundamento de Derecho puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias.
- d)El mantenimiento de ficheros,- cualquiera que sea la forma o modalidad de éstos-, programas o equipos carentes de las medidas de seguridad que impidan accesos o tratamientos no autorizados constituye una infracción del artículo 9 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley. Expuesto el marco normativo que resulta de aplicación al caso analizado resulta necesario transcribir diversos conceptos relacionados con los preceptos de la normativa de protección de datos anteriormente citados y con la naturaleza especialmente protegida de los datos de carácter personal registrados en los ficheros del SERMAS, a los que el denunciante tenía acceso en función de su condición de responsable de la Comisión de Uso Racional del Medicamento (URM) del Centro de Salud y la investigación clínica que le fue asignada dentro de los objetivos incluidos en el Contrato de Gestión del Centro de Salud. Así, en el artículo 3 de la LOPD se acuñan las siguientes definiciones: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo. Por su parte, la letra
- g)del apartado 1 del artículo 5 del RLOPD define como “
- g)Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” Las letras
- f)y ñ) del apartado 2 del artículo 5 del RLOPD definen los siguientes conceptos en relación con lo dispuesto en el título VIII de dicho Reglamento, que tiene como rúbrica “De las medidas de seguridad en el tratamiento de datos de carácter personal”: “
- f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. IV En el presente procedimiento debe dilucidarse si el SERMAS, Consejería de Sanidad, resulta responsable de la comisión de una infracción que afectaría a la adecuación de las medidas de seguridad de índole técnica y organizativa adoptadas por el responsable del fichero para evitar tratamientos no autorizados relacionados con la gestión y distribución de soportes que, al contener datos especialmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 protegidos, requerirían la implantación de medidas de seguridad de nivel alto. En concreto, ha de dirimirse si el SERMAS resulta responsable del tratamiento que pudiera haber llevado a cabo el denunciante en el marco del proyecto de mejora de la gestión de la prescripción farmacéutica de los profesionales del Centro de Salud Centro de Salud Arganda-Felicidad, el cual fue encargado al denunciante en su condición de responsable de la Comisión de Uso Racional del Medicamento del referido Centro de Salud, y que se materializaría en el almacenamiento en un pendrive propiedad del denunciante de los datos personales de los facultativos que prestaban sus servicios en el Centro de Salud ArgandaFelicidad y de los datos personales de salud (clínicos e identificativos) de los pacientes asignados a los cupos de dichos profesionales, así como en el tratamiento derivado del posterior traslado de esa información fuera de las instalaciones del Centro de Salud, todo ello sin que esa información estuviera cifrada o encriptada para evitar el acceso a esos datos por terceros no autorizados o su manipulación fuera de las instalaciones del responsable del fichero. Igualmente, no constaba que el SERMAS hubiese adoptado medidas de control para evitar el almacenamiento en dispositivos móviles no autorizados de datos especialmente protegidos que pudieran ser extraídos de sus ficheros por los facultativos del Centro, ni que hubiera establecido medidas para impedir la salida de las instalaciones del Centro de ese tipo de soportes electrónicos no autorizados con datos de carácter personal procedentes de sus ficheros, como al parecer había podido hacer el denunciante. Amén, de que en el caso de quedar probada la comisión de la infracción al artículo 9 de la LOPD descrita, el SERMAS también resultaría responsable de que no constase en un registro el tipo de documento o soporte, la fecha y hora, el destinatario, el número de soportes, el tipo de información que contenían la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada. A este respecto se recuerda que en este tipo de infracciones que afectan a la seguridad de los datos, no basta con la mera determinación de las medidas de seguridad a adoptar en función del nivel de seguridad requerido por el tipo de datos tratados, siendo también necesario el cumplimiento real de las mismas y que, además, resulten efectivas a los efectos pretendidos, tal y como ponía de relieve la Audiencia Nacional, en sus sentencias de 13 de junio de 2002 y de 7 de febrero de 2003, al establecer que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. Criterio reiterado por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), al señalar que: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. Sentado lo anterior, de la valoración conjunta de los elementos de prueba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 obrantes en el procedimiento se desprende que conforme al escrito firmado por el Director del Centro de Salud Arganda-Felicidad con fecha 2 de septiembre de 2016, el denunciante únicamente estaba autorizado a tratar los datos clínicos de los pacientes asignados al mencionado Centro de Salud para desarrollar la actividad investigadora que le fue encargada. Precisamente, el SERMAS incide en esa circunstancia al alegar que los datos de la investigación debían estar anonimizados y trae a colación el “Decálogo de Buenas Prácticas Para Usuarios de Sistemas de Información de la Consejería de Sanidad”, incluido en el Anexo de la “Orden 491/2013, de 27 de junio, de la Consejería de Sanidad, por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica y de los sistemas de información de la Consejería de Sanidad de la Comunidad de Madrid”, (BOCM núm. 169), cuyo artículo 1.2 establece que: “2 La política, que se aprueba por esta Orden, será de especial aplicación a los sistemas de información previstos en la Ley 11/2007, de 22 de junio. Asimismo, deberá cumplirse, tanto por el personal destinado en los órganos y unidades dependientes de la Consejería de Sanidad, como por el personal que, aun no estando destinado en dichos órganos y unidades, tenga acceso a los sistemas de información.”. Se constata que los puntos 1 y 3 del citado decálogo establecen una serie de pautas de comportamiento relativas al “Uso de los equipos informáticos” y “Tratamiento y uso de datos de carácter personal”, entre las que se encuentran las siguientes: 1.1 Los equipos informáticos no deben ser utilizados para fines particulares. 1.2 No deben almacenarse en la memoria de los ordenadores documentos que contengan datos de carácter personal. En caso contrario, los usuarios serán responsables de la custodia y respaldo de toda la información que almacenen en los mismos. 1.4 No se deberán sacar equipos fuera de las instalaciones, excepto que estuviera previamente autorizado por el responsable de seguridad designado conforme la LOPD 3.1 Los usuarios deben acceder, exclusivamente, a la información necesaria para el desarrollo de las funciones propias de su actividad y, únicamente, a la que esté autorizado. 3.2 En el acceso a ésta información los usuarios están obligados a cumplir todas las medidas de seguridad establecidas por la normativa en protección de datos, y demás requisitos aplicables conforme a ¡as normas y procedimientos establecidos en la CSCM. 3.5 El personal que necesite extraer de la CSCM datos de carácter Personal deberá solicitarla autorización pertinente del Responsable de Seguridad, conforme a la LOPD, y aplicar las debidas medidas de seguridad para proteger esa Información. Asimismo, el Responsable de Seguridad deberá, llevar un registro actualizado de la salida de esta información. 3.7 Los accesos a los sistemas de información podrán ser monitorizados y registrados para auditar el uso de los mismos, de conformidad con lo estipulado en el Reglamento de desarrollo de la LOPD. Asimismo, resulta relevante destacar que a raíz de las actuaciones practicadas durante el período de pruebas no ha podido acreditarse la veracidad de los hechos expuestos por el denunciante en sus escritos de fechas 4 de agosto y 7 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 septiembre de 2016 (Antecedente de Hecho Primero), ya que han resultado infructuosos los intentos de acceder al contenido del pendrive que, según el denunciante, estaba en su antiguo domicilio y su ex mujer se negaba a entregarle junto con un PC también de su propiedad. De este modo, no sólo no ha quedado acreditada la existencia de dicho dispositivo fuera de las instalaciones del Centro de Salud Arganda-Felicidad , sino que tampoco ha podido probarse la naturaleza y origen de la información que pudiera contener, por lo que no hay elementos de prueba de los que se desprenda que el pendrive en cuestión contuviera datos de carácter personal de los facultativos de ese Centro de Salud y datos de salud de los pacientes asignados a los cupos de esos profesionales médicos extraídos, todos ellos, de los sistemas informáticos del SERMAS con motivo del estudio clínico que el denunciante estaba realizando. Es decir, no constan en el procedimiento elementos de prueba que apoyen las manifestaciones del denunciante de las que se derivaría la infracción supuestamente cometida por el SERMAS en materia de seguridad de datos de carácter personal, junto a lo cual, y sin perjuicio de que el procedimiento se inicia de oficio, se ha producido la circunstancia de que el denunciante en escrito registrado el 18 de septiembre de 2017 ha no se ha ratificado en las manifestaciones realizadas en los escritos anteriormente reseñados. En este punto, hemos de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en Sentencia 44/1989, de 20 de febrero, indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. El mismo Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, bajo la rúbrica “Responsabilidad”, establece que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En definitiva, a tenor de las circunstancias expuestas, se considera de aplicación el principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan la inculpación o de la intervención en los mismos del presunto infractor. En consecuencia, al no haber quedado probado que el médico denunciante realizase el tratamiento de datos de carácter personal de salud en el que se sustentaba la posible infracción a las medidas de seguridad descritas, debe concluirse que no existe prueba de cargo suficiente contra el SERMAS para atribuirle responsabilidad alguna en unos hechos que no han resultado acreditados, procede archivar el presente procedimiento de declaración de infracción de Administraciones Públicas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de las actuaciones seguidas al Servicio Madrileño de Salud de la Comunidad de Madrid, Dirección General de Coordinación de Asistencia Sanitaria, en el procedimiento de declaración de infracción de las Administraciones Públicas nº AP/00019/2017. SEGUNDO: NOTIFICAR la presente resolución al Servicio Madrileño de Salud de la Comunidad de Madrid, Dirección General de Coordinación de Asistencia Sanitaria y a Don A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es