AAPP-00020-2013

1/12 Procedimiento Nº AP/00020/2013 RESOLUCIÓN: R/02098/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00020/2013, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM), vista las denuncias presentadas, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de junio y 31 de agosto de 2012 tienen entrada en esta Agencia los escritos de los denunciantes que se relacionan en los anexos. Todos ellos son pacientes de la consulta de enfermería del Consultorio de Rielves (Toledo). En todas las denuncias se pone de manifiesto que en la puerta de la consulta de enfermería del Consultorio de Rielves (Toledo) se hacen públicos los listados de los pacientes que están citados cada día, los denunciantes manifiestan que han comunicado estos hechos a la Gerencia, a pesar de lo cual, se siguen haciendo públicos. Los denunciantes han aportado copia de los “Listados de Agendas”, de fechas 28 de octubre y 2, 3, 7 y 17 de noviembre de 2011, en los que figuran sus datos personales de nombre y apellidos así como el tipo de consulta, junto con los datos del resto de los pacientes citados esos días en la consulta de enfermería, y manifiestan que éstos son los listados que estaban expuestos en la puerta de la consulta en esas fechas. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En la inspección realizada en el Consultorio de Rielves (Toledo), que pertenece al SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM), en relación con los hechos denunciados, los representantes del SESCAM ponen de manifiesto que: 1 Dado que en el Consultorio de Rielves no disponen de personal administrativo, la citación de los pacientes se realiza por el propio profesional sanitario. 2 Los datos de los pacientes que solicitan cita para consulta de enfermería se gestionan a través de una aplicación instalada en todos los centros sanitarios de atención primaria del SESCAM denominada “TURRIANO”. Los listados aportados por los denunciantes corresponden a los pacientes citados para consulta de enfermería y se pueden obtener de la citada aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 3 Los profesionales sanitarios tienen acceso a la citada aplicación y pueden obtener desde su ordenador los listados mostrados por los Inspectores. 4 En el consultorio inspeccionado existe desde hace tiempo un conflicto entre los dos profesionales (médico y enfermera) que prestan servicios en el mismo, lo que ha dado lugar a varias “Comunicaciones” a la Gerencia por parte de ambas según el modelo establecido denominado “Perseo”. 5 En el transcurso de la Inspección se verifica que en la puerta de la consulta de enfermería se expone un listado que contiene los datos de los pacientes citados en el día de la inspección, sin embargo solo figura el nombre del paciente y las iniciales de los apellidos, así como el CIP (código de identificación del paciente) incompleto. 6 En la Inspección la enfermera del Consultorio, ha realizado las siguientes declaraciones sobre los hechos denunciados: 7 6.1 El motivo de exponer en la puerta de la consulta el listado con los pacientes citados cada día es que éstos puedan conocer el orden de entrada y evitar discusiones entre ellos. 6.2 En la actualidad los listados que se exponen solo contienen el nombre y las iniciales del paciente, sin embargo hasta que recibió instrucciones de la Gerencia, no recuerda en qué fecha, pero hace más de un año, los listados que exponía en la puerta de la consulta contenían el nombre y apellidos completos de los pacientes. En la aplicación “TURRIANO”, que según las declaraciones realizadas por los representantes del SESCAM, se obtienen los listados de los pacientes, se han realizado las siguientes comprobaciones: 7.1 Se verifica que la aplicación dispone de una opción denominada “Cita Previa” desde la que se gestionan los “Listados de Agendas”. 7.2 Se verifica que se pueden obtener diferentes listados de los pacientes citados, uno de ellos coincide con el modelo de los aportados por los denunciantes y otro de ellos coincide con el modelo que se encuentra en la puerta en el día de la inspección. También se comprueba que ya no se pueden obtener los listados aportadas por los denunciantes, ya que no se conservan las Agendas de esas fechas y solo se conservan las Agendas de los últimos tres meses. TERCERO: Con fecha 20 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el apartado

1. d)del artículo 44.3 de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 12 de junio de 2013 tiene entrada un escrito de alegaciones del SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) en el que, en síntesis, manifestaba que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 “Primera.- En el organigrama de la Gerencia de Atención Primaria se incardina la Oficina de Calidad y Atención al Usuario. Entre sus objetivos se encuentra el de tutelar el cumplimiento de los derechos de los pacientes que tienen reconocidos por la ley. Como tal en su cartera de servicios ofrece la atención y gestión de las sugerencias, quejas y reclamaciones de los usuarios de Atención Primaria del Area para su posterior análisis, identificación y resolución de problemas. Esta unidad no tiene constancia alguna de denuncia de usuarios del Consultorio de Rielves previa a la formulada ante la Agencia de Protección de datos. De ser así, de haber existido la previa denuncia, queja o reclamación a la que se alude en el hecho primero del acuerdo de inicio del expediente sancionador se hubiera podido constatar la realidad denunciada y en su caso actuar disciplinariamente contra el posible empleado infractor de la normativa en materia de protección de datos. (...) Tercera.- La Secretaría General del Servicio de Salud de Castilla La Mancha en noviembre de 2007 envió un escrito a todas las Gerencias ordenando la retirada inmediata de los listados de pacientes y su sustitución por un sistema que garantizara la confidencialidad de los datos de los pacientes mediante la disociación de la información personal del paciente. Como consecuencia de este escrito la Gerencia de Atención Primaria de Toledo, mediante nota interior dirigida a todos los coordinadores y unidades administrativas del área de salud de Toledo, con fecha 26 de noviembre de 2007, ordenó que a partir de dicha fecha, se retiraran los listados expuestos al público, utilizando otras alternativas que garantizaran la mayor privacidad de los datos de los usuarios. Se adjunta copia de la mencionada nota interior. Cuarta.- La Gerencia de Atención Primaria órgano periférico del Servicio de Salud de Castilla La Mancha viene realizando periódicamente un control exhaustivo de los Centros de Salud del área de salud de Toledo. En este contexto recuerda a todas sus Unidades administrativas la obligación de cumplir, como no puede ser de otra manera, con las exigencias de la Ley Orgánica de Protección de Datos. (...) Quinta.- El sistema informático de citación garantiza la seguridad lógica y física del procedimiento, si bien no se puede olvidar la existencia de un riesgo de vulneración por parte de los profesionales que individualmente intervienen, sin que ello signifique una dejación voluntaria de funciones de la Gerencia o negligencia, sino que se trataría de una actuación individual ajena a las directrices del Servicio de Salud y expresamente en contra de las mismas. En nuestro caso hemos acreditado la existencia una orden de retirada inmediata de listados de pacientes y su sustitución por un sistema que garantice la confidencialidad de los datos. Por tanto se ha empleado la diligencia exigible para evitar la infracción que actualmente se imputa, sin que pueda considerarse la existencia de grado alguno de intencionalidad por parte del Servicio de Salud. Con el fin de evitar que en lo sucesivo se produzcan hechos como el denunciado, reiteraremos las campañas informativas recordando al personal la necesidad de extremar las precauciones para evitar este tipo de situaciones. (...)” Concluyen las alegaciones solicitando que se ordene el archivo del expediente de inicio de procedimiento de declaración de infracción de Administraciones Públicas al Servicio de Salud de Castilla La Mancha (SESCAM). Con fecha 14 de junio de 2013 tiene entrada un escrito del SESCAM en el que se adjunta la nota interior de 26 de noviembre de 2007 que olvidaron acompañar a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 alegaciones anteriores cuyo asunto es: “sobre retirada de listados de pacientes expuestos al público”. QUINTO: Con fecha 26 de junio de 2013 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios las denuncias interpuestas y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM), y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04618/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00020/2013 presentadas por el SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM), y la documentación que a ellas acompaña. SEXTO: Con fecha 27 de agosto de 2013, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. SÉPTIMO: Notificada la propuesta de resolución, el SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) realizó alegaciones en las que comunica: “Segunda.- Recientemente la Secretaría General del SESCAM con fecha 3 de julio ha emitido Instrucciones, que tienen por destinatarios a todos los Gerentes del Servicio de Salud de Castilla La Mancha en las que se ordena, en el marco del procedimiento sancionador que se sigue contra dicho Servicio de Salud, lo siguiente: “...no se publiquen en ningún centro sanitario del SESCAM los mencionados listados. Asimismo se reitera que este sistema de citación, deberá sustituirse por cualquier otro que se considere útil y eficaz, a la vez que garantice, mediante la disociación de la información personal del paciente, la confidencialidad de sus datos personales“. Se adjunta copia de las mencionadas instrucciones. Tercera.- Por su parte esta Gerencia de Atención Primaria del Área de Salud de Toledo, órgano periférico del Servicio de Salud en cuyo en cuyo ámbito se han producido los hechos objeto del expediente, además de comunicar las mencionadas instrucciones a todos los centros sanitarios de su ámbito, ha dirigido una comunicación personal a todos los profesionales adscritos a su plantilla que intervienen en el manejo de listados de pacientes para que extremen el celo en la utilización de la aplicación informática, para evitar que puedan producirse de nuevo situaciones semejantes a las que han motivado la apertura del presente expediente sancionador. Además se propone periódicamente realizar visitas a todos los centros para supervisar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 que se cumple la normativa así como para informar “in situ” sobre la importancia del cumplimiento de esta ley. Cuarta.- Finalmente es preciso manifestar que el sistema informático de citación garantiza la seguridad lógica y física del procedimiento, si bien no se puede olvidar la existencia de un riesgo de vulneración por parte de los profesionales que individualmente intervienen, sin que ello signifique una dejación voluntaria de funciones de la Gerencia o negligencia, sino que se trataría de una actuación individual ajena a las directrices del Servicio de Salud y expresamente en contra de las mismas.” Concluyen las alegaciones solicitando que se ordene el archivo del expediente de inicio de procedimiento de declaración de infracción de Administraciones Públicas al Servicio de Salud de Castilla La Mancha (SESCAM) por la presunta infracción del artículo 10 de la LOPD. HECHOS PROBADOS PRIMERO: Se han presentado varias denuncias en esta Agencia de Protección de Datos en las que se pone de manifiesto que en la consulta de enfermería del Consultorio de Rielves, Toledo, se exponen en la puerta los listados de los pacientes que están citados cada día. Los denunciantes manifiestan que han comunicado estos hechos a la Gerencia. Aportan copia de los “Listados de Agendas”, de fechas 28 de octubre y 2, 3, 7 y 17 de noviembre de 2011, en los que figuran sus datos personales de nombre y apellidos y en otra columna, con el literal “tipo de visita”, figuran datos como: extracciones, sintrom, progr-adulto y el CIP (código de identificación del paciente) completo junto con los datos del resto de los pacientes citados esos días en la consulta de enfermería, y manifiestan que éstos son los listados que estaban expuestos en la puerta de la consulta en esas fechas. SEGUNDO: En la inspección realizada por esta Agencia el 27 de septiembre de 2012 en el Consultorio de Rielves, Toledo, que pertenece al SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM), en relación con los hechos denunciados, se pusieron de manifiesto los siguientes hechos: Que los datos de los pacientes que solicitan cita para consulta de enfermería se gestionan a través de una aplicación informática. Los listados aportados por los denunciantes corresponden a los pacientes citados para consulta de enfermería y se pueden obtener de la citada aplicación. Que el día de la Inspección en la puerta de la consulta de enfermería se expone un listado con los pacientes citados ese día en el que figura el nombre del paciente las iniciales de los apellidos y el CIP (código de identificación del paciente) incompleto. En la Inspección la enfermera del consultorio, declaró que en la actualidad los listados que se exponen solo contienen el nombre y las iniciales del paciente, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 embargo hasta que recibió instrucciones de la Gerencia, no recuerda en qué fecha, pero hace más de un año, los listados que exponía en la puerta de la consulta contenían el nombre y apellidos completos de los pacientes. TERCERO: En la inspección se verifica que la aplicación informática utilizada, dispone de una opción denominada “Cita Previa” desde la que se gestionan los “Listados de Agendas” y se comprueba que se pueden obtener diferentes listados de los pacientes citados. Uno de ellos coincide con el modelo aportado por los denunciantes y otro con el modelo que se encuentra en la puerta en el día de la inspección. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
4. a)de la LOPD define los datos de carácter personal como: ”cualquier información concerniente a personas físicas identificadas o identificables”. Añade el artículo 5.1.
5. f)del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 de protección de datos de carácter personal, que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, se denuncia que se han divulgado los datos de carácter personal de los denunciantes por la entidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo:“obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales de los denunciantes por parte del SERVICIO DE SALUD DE CASTILLA-LA MANCHA (SESCAM), quienes han manifestado, en las alegaciones al acuerdo de inicio del presente procedimiento de declaración de infracción de Administraciones Públicas, que “La Secretaría General del Servicio de Salud de Castilla La Mancha en noviembre de 2007 envió un escrito a todas las Gerencias ordenando la retirada inmediata de los listados de pacientes y su sustitución por un sistema que garantizara la confidencialidad de los datos de los pacientes mediante la disociación de la información personal del paciente. Como consecuencia de este escrito la Gerencia de Atención Primaria de Toledo, mediante nota interior dirigida a todos los coordinadores y unidades administrativas del área de salud de Toledo, con fecha 26 de noviembre de 2007, ordenó que a partir de dicha fecha, se retiraran los listados expuestos al público, utilizando otras alternativas que garantizaran la mayor privacidad de los datos de los usuarios. Se adjunta copia de la mencionada nota interior.” Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en la consulta de enfermería del consultorio de salud de Rielves en Toledo se exponían las listas de los pacientes citados cada día a consulta con datos personales que los hacían identificables. Por una parte los denunciantes aportaron listados de octubre y noviembre de 2011 con los datos personales mencionados y por otro lado la enfermera encargada de la consulta manifestó, en septiembre de 2012 durante la inspección de esta Agencia, que hasta hace más de un año cuando recibió instrucciones de la Gerencia los listados que exponía en la puerta de la consulta contenían el nombre y apellidos completos de los pacientes. Por parte de la Gerencia de Atención Primaria se manifiesta, en sus alegaciones al acuerdo de inicio, que en noviembre de 2007 se ordenó que se retiraran los listados expuestos al público. La Gerencia de Atención Primaria del SESCAM ha alegado que los datos personales a los que se refieren las denuncias de varios de sus pacientes no tienen la consideración de especialmente protegidos. Respecto de esta cuestión cabe recordar que la información contenida en la columna “tipo de consulta” incluye datos referidos al motivo de la consulta de los afectados. Sin embargo esta cuestión no tiene relevancia en este caso dado que la tipificación de la infracción cometida por la vulneración del deber de guardar secreto es única tras la modificación de la LOPD por la Ley de economía sostenible de 4 de marzo de 2011 que considera la misma como grave en cualquier caso. IV Por otra parte, con respecto a la alegación de que “no se puede olvidar la existencia de un riesgo de vulneración por parte de los profesionales que individualmente intervienen, sin que ello signifique una dejación voluntaria de funciones de la Gerencia o negligencia, sino que se trataría de una actuación individual ajena a las directrices del Servicio de Salud y expresamente en contra de las mismas”, dicha alegación debe desestimarse. Los datos personales de los pacientes citados a consulta en el centro objeto de denuncia, son datos que figuran en los ficheros de datos personales cuyo responsable es el SESCAM, datos de carácter personal que, por lo tanto, están sujetos al ámbito de aplicación de la LOPD por ser datos de personas físicas. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
9. c)delimita, como ya se ha dicho más arriba, en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En la misma línea el artículo 5.1
10. q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas el Servicio de Salud de Castilla la Mancha, es el responsable del fichero y del tratamiento de los datos de carácter personal relativos a la salud de sus pacientes que se exponían en la puerta de la consulta de enfermería del consultorio de Rielves. En consecuencia, el Servicio de Salud de Castilla la Mancha está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. Con respecto a la ausencia de culpabilidad de la entidad denunciada cabe decir que esta alegación no puede ser tenida en cuenta, dado que, si bien el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En definitiva, el Servicio de Salud de Castilla la Mancha, no actuó con la diligencia debida dado que se divulgaron los datos personales de sus pacientes al exponerlos en la puerta de la consulta de Rielves, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V La conducta de la denunciada se incardina en el artículo 44.3.
11. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del Servicio de Salud de Castilla la Mancha se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a sus pacientes, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
12. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR al SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) la adopción de medidas correctoras, toda vez que ha quedado constatado que desde la Secretaría General del SESCAM, con fecha 3 de julio, se han emitido instrucciones a los Gerentes del Servicio de Salud de Castilla La Mancha, en las que se ordena que no se publiquen en los centros sanitarios listados con información personal de los pacientes y se reitera que el sistema de citación deberá sustituirse por otro que garantice la confidencialidad de sus datos personales. Desde la Gerencia de Atención Primaria de Toledo se han comunicado esas instrucciones a los centros sanitarios y a los profesionales, para evitar que puedan producirse de nuevo situaciones como las que han motivado la apertura del presente expediente, todo ello en cumplimiento de lo previsto en el artículo 10 de la LOPD. TERCERO: NOTIFICAR la presente resolución y el Anexo 1 al SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) y a cada uno de los denunciantes la presente resolución y exclusivamente el anexo que les corresponda. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es