AAPP-00020-2018

1/15 Procedimiento Nº AP/00020/2018 RESOLUCIÓN: R/01369/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00020/2018, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIO MADRILEÑO DE SALUD (CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID), vista la denuncia presentada por Dña. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de diciembre de 2017, se registra de entrada escrito de Doña A.A.A., (en lo sucesivo la denunciante), poniendo de manifiesto que al acceder con su certificado electrónico a su historia clínica electrónica, a través de la aplicación “PORTAL SALUD” del Servicio Madrileño de Salud, (en adelante el denunciado), al seleccionar “Resultados Pruebas de Imagen”, constata que la aplicación le muestra datos de salud de otras personas en lugar de los suyos. La denunciante adjunta impresión de capturas de pantalla con los resultados obtenidos como consecuencia del acceso realizado a su historia clínica el día 15 de noviembre de 2017, en las que se observa información referida a las historias clínicas de otros pacientes, en la que se incluyen sus datos identificativos, fechas de nacimiento, números de CIP, números de Historias Clínicas, información clínica y exploración solicitadas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, con fecha 21 de febrero de 2018, se realiza visita de inspección al Servicio Madrileño de Salud, poniendo de manifiesto lo siguiente: 1.1. Los pacientes del sistema público sanitario de la Comunidad de Madrid, tienen acceso al denominado “Portal Salud”, a través de la dirección: https//www.madrid.org/sanidad, desde la cual se puede acceder a dos servicios electrónicos para el ciudadano: “CARPETA DE SALUD” e “HISTORIA CLINICA DIGITAL DEL SISTEMA NACIONAL DE SALUD (HCDSNS). 1.2. El acceso a HCDSNS, al cual accedió la denunciante, se realiza mediante una aplicación desarrollada por el Ministerio de Sanidad para todas las Comunidades autónomas. 1.3. El acceso a este Servicio de Historia Clínica, se realiza tanto por pacientes como por profesionales de la sanidad (Médicos y Enfermeras con perfiles diferentes), mediante Certificado Electrónico. Además, los profesionales sanitarios tienen que estar registrados como “Profesional con derecho a acceso” en el Sistema Regional de Salud, en el que están incluidos todos los que se dedican a la asistencia sanitaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 1.4. En el caso de que el paciente tenga su Historia clínica completa o parcial en la Comunidad de Madrid, los datos se obtienen desde el sistema de información HORUS, cuyo responsable es la Consejería de Sanidad de la Comunidad de Madrid, con la finalidad: almacenamiento y visualización de historias clínicas de pacientes de la Consejería, la gestión y control sanitario”. La Orden de Creación se publicó en el BOCAM, de 30 de junio de 2011, y el código de inscripción en el Registro General de Protección de Datos es ***CODIGO.1. 1.5. Así mismo, desde el HCDSNS se puede tener acceso a cualquier prueba de imagen o información relevante de otras Comunidades donde el paciente hubiera sido atendido. 1.6. Cuando se accede a la Historia existe la opción de ver las imágenes correspondientes a pruebas de imagen e informes de las mismas, asociadas a la historia clínica del paciente. 1.7. La denunciante comunicó a través de la propia aplicación a la Dirección General de Sistemas el problema objeto de denuncia. Cuando se tuvo conocimiento de los hechos, desde la citada Dirección General se comenzó una investigación, detectándose que existían otras personas con el mismo problema. Las incidencias comunicadas quedaron reflejadas en el Registro de incidencias. 1.8. Tras la investigación, la Dirección General de Sistemas de Información Sanitaria, donde se realizan dichas migraciones, elaboró un Informe de la incidencia, en el que se detallan los siguientes hechos ocurridos así como las medidas adoptadas: 1.8.1. Una vez analizadas las incidencias, se determina que no se tratan de incidencias puntuales, sino de un problema que afecta a un mayor número de personas, motivado por la inclusión de la imagen radiológica desde varios hospitales, por lo que se han producido varios procesos de migraciones de imágenes e informes que implicaban modificar los identificadores originales por otros nuevos para evitar colisiones de identificadores. 1.8.2. El cambio de los identificadores originales implicaba que las referencias almacenadas en HORUS debían ser actualizadas para que al acceder a los informes e imágenes se recuperaran de forma correcta. En este proceso las actualizaciones no se acotaron a los identificadores del hospital que se migraban, repercutiendo también en las referencias que coincidían de otros hospitales. 1.8.3. La explicación a la incidencia es que en la generación del informe, cuando no se especifica el Id_episodio, este toma el mismo valor que el Id_informe, haciendo que estos datos coincidan en varios hospitales a la vez. 1.8.4. Para la subsanación de dicho problema se cruzan todos los identificadores y se actualizan todos los que no coincidan. Según consta en el “Informe Resolución. Incidencia de informes. RIS/PACS SIEMENS/HORUS” de fecha 16 de febrero de 2018, adjuntado al Acta de Inspección, la primera actuación es de fecha 21 de diciembre de 2017 y la última de fecha 14 de febrero de 2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 1.8.5. De la información obrante en dicho informe, no se ha obtenido constancia de que la incidencia haya sido resuelta en su totalidad en la fecha en la que se realizó la Inspección. TERCERO: Con fecha 23 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO MADRILEÑO DE SALUD (CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID) por las presuntas infracciones a lo previsto en los siguientes preceptos: - Artículo 9.1 de la LOPD en relación con lo dispuesto en los artículos 91.2 y 3, 92.1 y 93.2 del RLOPD, tipificada como infracción grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. - Artículo 10 de la LOPD, tipificada como infracción grave en el artículo 44.3.
2. d)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 12 de abril de 2018, el Servicio Madrileño de Salud presentó escrito de alegaciones en el que, en síntesis, manifestaba que la denunciante al acceder a su historia clínica pudo visualizar datos de otros pacientes. Comunicó el problema y se abrió una incidencia y se inició una actuación interna para detectar las causas y subsanar el incidente. Una vez concluida la investigación, se elaboró un informe en el que se reflejan los antecedentes, la causa que motivó la incidencia y las medidas implantadas. La causa tiene su origen en la migración de imágenes entre hospitales. Se cruzaron los identificadores y actualizados los que no coincidían, a fecha 16 de enero de 2018 quedó subsanado el error. Tras la apertura de la incidencia y la investigación, detectaron otras incidencias similares; detectado el fallo en el sistema, se resolvieron la totalidad de los casos. Además de la rápida solución del problema, se ha efectuado una auditoría íntegra del sistema, verificando que el día 14 de febrero la incidencia ha sido solucionada en su totalidad. Durante la visita de inspección se facilitó toda la documentación solicitada por las Inspectoras, colaborando de manera proactiva. La incidencia es consecuencia de un error en el sistema de información “Horus”, error que fue tratado de forma inmediata tras su conocimiento. El porcentaje de documentos afectados fue de un 0,19%. A pesar de existir un sólido plan de medidas y protocolos para combatir los riesgos que se derivan del tratamiento de datos en base a su volumen y tipología, consideran que dicho tratamiento conlleva un riesgo implícito, pero que se ponen todos los recursos y salvaguardas precisas para mitigar al máximo los riesgos; y si se producen, minimizar el impacto y solucionarlos en el menor plazo de tiempo posible. Cabe concluir que hay una actitud diligente y proactiva de la Consejería de Sanidad de la Comunidad de Madrid, añadiendo que no ha habido antes ninguna incidencia de este tipo; el porcentaje afectado es muy bajo; y antes de iniciar actuaciones por parte de la AEPD ya se activaron los protocolos para corregir la incidencia. Por ello, solicitan el archivo de las actuaciones. QUINTO: Con fecha 21 de junio de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declarase que el SERVICIO MADRILEÑO DE SALUD (CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID) había infringido lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 dispuesto en el artículo 9.1 de la LOPD en relación con lo dispuesto en el artículo 91 del RLOPD y lo dispuesto 10 de la LOPD, lo que supone la comisión de sendas infracciones tipificadas como graves en los apartados
3. h)y d), respectivamente, del artículo 44.3 de la citada norma. SEXTO: Notificada la propuesta de resolución del procedimiento de declaración de infracción de Administraciones Públicas, en fecha 3 de julio de 2018 se registra en esta Agencia escrito de alegaciones del Servicio Madrileño de Salud, en el que se reitera en los argumentos expuestos con anterioridad, haciendo hincapié en que atendiendo el volumen total de documentos clínicos tratados por dicho Servicio (85.779.879) únicamente un 0,19% de la información se ha visto afectada(166.000 referencias). Por otra parte, se solicita la modificación de la calificación de la infracción pasando a leve en base a las medidas correctoras inmediatamente adoptadas y al reducido porcentaje de personas realmente afectadas por la situación (0,000046% de los usuarios del sistema). Se niega que conste “probado que numerosos usuarios del reseñado sistema “Horus” accedieron a datos de la historia clínica de terceros cuando querían ver la suya.”, aduciendo al respecto que en el procedimiento sólo consta probado el acceso de la denunciante a datos de la historia clínica de terceros y que por parte del SERMAS sólo se conoce la existencia de un problema similar de visualización de datos de otros pacientes por parte de otros dos ciudadanos. Diferenciando la cifra de usuarios a los que potencialmente pudo afectar la incidencia, del número de usuarios a los que realmente afectó debido a la diligencia mostrada por el SERMAS en la corrección de la incidencia técnica, no se ha producido un número elevado de accesos indebidos ya que el impacto real de personas afectadas ha sido del 0,000046% con respecto a los usuarios del sistema. HECHOS PROBADOS PRIMERO: El día 15 de noviembre de 2017, Doña A.A.A., accedió con su certificado electrónico a su historia clínica electrónica, a través de la aplicación “PORTAL SALUD” del Servicio Madrileño de Salud, y al seleccionar “Resultados Pruebas de Imagen”, constató que la aplicación le muestra datos personales y de salud de otras personas en lugar de los suyos, tales como datos identificativos, fechas de nacimiento, números de CIP, números de Historias Clínicas, información clínica y exploración solicitadas. SEGUNDO: La denunciante adjunta impresión de capturas de pantalla con los resultados obtenidos como consecuencia del acceso realizado a su historia clínica el día 15 de noviembre de 2017, en las que se observa información referida a las historias clínicas de otros pacientes, en la que se incluyen datos identificativos, fechas de nacimiento, números de CIP, números de Historias Clínicas, información clínica y exploración solicitadas. TERCERO: Cuando se accede a la Historia Clínica existe la opción de ver las imágenes correspondientes a pruebas de imagen e informes de las mismas, asociadas a la historia clínica del paciente. CUARTO: La denunciante comunicó a través de la propia aplicación a la Dirección General de Sistemas el problema objeto de denuncia. Cuando se tuvo conocimiento de los hechos, desde la citada Dirección General se comenzó una investigación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 detectándose que existían otras personas con el mismo problema. Las incidencias comunicadas quedaron reflejadas en el Registro de incidencias. QUINTO: La Dirección General de Sistemas de Información Sanitaria elaboró un Informe de la incidencia, determinando que no se tratan de incidencias puntuales, sino de un problema que afecta a un mayor número de personas, motivado por la inclusión de la imagen radiológica desde varios hospitales, por lo que se han producido varios procesos de migraciones de imágenes e informes que implicaban modificar los identificadores originales por otros nuevos para evitar colisiones de identificadores. SEXTO: El cambio de los identificadores originales implicaba que las referencias almacenadas en HORUS debían ser actualizadas para que al acceder a los informes e imágenes se recuperaran de forma correcta. En este proceso las actualizaciones no se acotaron a los identificadores del hospital que se migraban, repercutiendo también en las referencias que coincidían de otros hospitales. SÉPTIMO: La explicación a la incidencia es que en la generación del informe, cuando no se especifica el Id_episodio, este toma el mismo valor que el Id_informe, haciendo que estos datos coincidan en varios hospitales a la vez. OCTAVO: Para la subsanación del problema se cruzaron todos los identificadores y se actualizaron todos los que no coincidan. Según consta en el “Informe Resolución. Incidencia de informes. RIS/PACS SIEMENS/HORUS”, de fecha 16 de febrero de 2018, la primera actuación es de fecha 21 de diciembre de 2017 y la última de fecha 14 de febrero de 2018. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. En el supuesto analizado consta probado que el Servicio Madrileño de Salud es responsable del sistema de acceso de los ciudadanos a las historias clínicas del sistema público sanitario de la Comunidad de Madrid y no ha implementado correctamente las medidas de seguridad, lo que ha permitido que algunos usuarios accedieran a datos de las historias clínicas de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 De acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de “responsables de los ficheros” debe integrarse con la definición que de los mismos recoge el artículo 3.
5. d)de la LOPD. Este último precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así conforme al citado artículo 3.
6. d)el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
7. q)del RLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Dentro de lo expuesto y de conformidad con las definiciones citadas, se considera que el Servicio Madrileño de Salud ha decidido sobre la finalidad, contenido y uso de los datos de carácter personal registrados en el sistema de información “Horus” que permite el acceso a las historias clínicas de los usuarios del sistema público sanitario de la Comunidad de Madrid, por lo que dicho Servicio ostenta una posición jurídica que lo convierte en responsable del tratamiento objeto de denuncia. III En primer lugar procede analizar si por parte del Servicio Madrileño de Salud se ha incumplido el principio de seguridad de los datos personales que constan en sus ficheros y a los que pueden acceder los usuarios. El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El artículo 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” El artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” El citado precepto establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. El artículo 3 de la LOPD recoge las siguientes definiciones relacionadas con los conceptos utilizados en los preceptos de la LOPD anteriormente citados: “
8. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
9. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
10. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
11. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
12. c)del presente artículo.” En relación con las medidas de seguridad, las letras
13. f)y ñ) del artículo 5.2 del RLOPD definen los siguientes conceptos: “
14. f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Así, el artículo 79 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” Por su parte, el artículo 81.1 del citado RLOPD establece en cuanto a la “Aplicación de los niveles de seguridad”, que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94 del RLOPD, las de nivel medio se regulan en los artículos 95 a 100 del mismo reglamento y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104 del mismo. Dichas medidas, en el caso que nos ocupa, no sólo deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal de los usuarios del sistema de información “Horus”, sino también de aquellos datos de carácter personal recabados de los usuarios de dicho sistema, cuyos datos han sido accedidos por terceros, ya que al acceder un usuario a su historia clínica podía ver datos de la historia clínica de terceros. IV En el presente supuesto, en el acuerdo de inicio del procedimiento la infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD se vinculó al presunto incumplimiento por parte del responsable del tratamiento de lo dispuesto en los artículos 91.2 y 3, 92.1 y 93 (medidas de seguridad de nivel básico) del RLOPD, los cuales disponen: ““Artículo 91. Control de acceso. 1. (…) 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. “ El artículo 92.1 del RLOPD, bajo la rúbrica “Gestión de soportes y documentos” dispone: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y sólo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 “Artículo 93. Identificación y autenticación. 1. (…). 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.” En cuanto al “Registro de incidencias”, el Servicio Madrileño de Salud ha justificado tener implantado un procedimiento de notificación y gestión de incidencias que afectan a los datos de carácter personal tratados, contar con un registro de incidencias en materia de seguridad y haber adoptado medidas correctoras para evitar el acceso por terceros a las historias clínicas cuando acceden a ver sus datos. Sentado lo anterior, se considera que en este supuesto se ha producido la vulneración del principio de seguridad de los datos del artículo 9.1 de la LOPD en su relación con lo previsto en el artículo 91.2 y 3 del RDLOP sobre medidas de “Control de acceso”. El citado precepto del RDLOP desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios del sistema únicamente puedan acceder a los datos personales o recursos autorizados. Para ello es necesario que por parte de dicho responsable se implanten mecanismos de control en evitación de que un usuario acceda a datos personales o funcionalidades que no se correspondan con el tipo de perfil de usuario asignado. Desde el Servicio Madrileño de Salud se ha confirmado a esta Agencia que la incidencia comunicada por la denunciante no era puntual sino que se trataba de un problema que afectaba a numerosas personas, motivado por la inclusión de imágenes radiológicas desde varios hospitales, y tenían que haber modificado los identificadores originales por otros nuevos para evitar colisiones de identificadores. Por lo tanto, consta acreditado que han resultado insuficientes las medidas de seguridad implantadas para que los usuarios del reseñado sistema de información únicamente pudieran tener acceso a la información de carácter personal que les correspondía. En definitiva, el Servicio Madrileño de Salud está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas en la normativa de protección de datos para los ficheros de su titularidad, y, entre ellas, las dirigidas a impedir accesos no autorizados a la información de carácter personal que consta en los mismos, lo que no sólo ocurre cuando terceros no autorizados acceden a esa información, sino también cuando usuarios de los ficheros acceden a recursos con derechos distintos de los autorizados o el responsable del fichero facilita a dichos usuarios información de carácter personal registrada en el mismo a la que no deberían acceder en función de su perfil de usuario. Se trata de una deficiencia técnica apreciada en el sistema de información “Horus” utilizado por el Servicio Madrileño de Salud que ha quedado acreditada no sólo por la documentación aportada por la denunciante, sino que , además, su existencia ha sido confirmada por el propio denunciado tanto durante la inspección practicada por esta Agencia con fecha 21 de febrero de 2018 en las instalaciones de la Dirección General de Sistemas de Información Sanitaria como, posteriormente, en los escritos de alegaciones presentados durante la instrucción del procedimiento. En estos escritos se reconoce que se detectó que el número de referencias afectadas de las almacenadas en la aplicación “Horus” ascendía a un total de 166.000. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Asimismo, queda constancia del fallo técnico detectado en el sistema a través del “Informe Resolución. Incidencia de informes”, de fecha 16 de febrero de 2018, aportado por el denunciado. El Servicio Madrileño de Salud, como responsable del fichero y del tratamiento efectuado con los datos personales de los usuarios del sistema “Horus” afectados por el incumplimiento de la reseñada medida de seguridad, es la entidad obligada a garantizar la seguridad de los datos personales, asegurando la efectividad de las medidas de seguridad implantadas. En este caso, dicho Servicio no había detectado la existencia del fallo técnico en cuestión, siendo después de recibir varias incidencias de los usuarios del sistema comunicando que podían acceder a informes de pruebas de imagen de terceros que se iniciaron las actuaciones necesarias para investigar la situación irregular comunicada, tal y como se desprende de la información obrante en el Registro de Incidencias adjuntado al Acta de Inspección, que refleja que la primera y última incidencia comunicadas son de fechas 30/06/2017 y 09/02/2018. Asimismo, en el “Informe Resolución. Incidencia de informes” anteriormente citado figuran las fechas de inicio y finalización de las actuaciones de subsanación efectuadas para reparar el fallo en cuestión. Por lo tanto, no es una cuestión de porcentajes de datos y usuarios afectados, sino de la existencia probada de un fallo en una medida de seguridad que afectaba a datos personales y de salud de los usuarios del citado sistema de información. V Alega el Servicio Madrileño de Salud que una vez tuvieron conocimiento de la incidencia producida iniciaron una investigación y tras identificar el problema, de forma proactiva, lo solucionaron cruzando todos los indicadores y actualizando todos lo que no coincidían. La primera actuación reseñada en el mencionado “Informe Resolución. Incidencia de informes” fue el día 21 de diciembre de 2017 y la última el 14 de febrero de 2018. Sin embargo, ha de tenerse en cuenta que en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información de carácter personal por parte de terceros o de usuarios no autorizados. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). El Servicio Madrileño de Salud es responsable de la infracción señalada, en tanto que ha quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad, en tanto que la infracción se consuma por el fallo de seguridad producido y la falta de medidas adecuadas para haberlo evitado. Las mejoras adoptadas para subsanar la incidencia confirman la falta de medidas de seguridad adecuadas que han determinado la infracción, de la que es responsable el Servicio Madrileño de Salud, según ha quedado expuesto, si bien hay que señalar que actuaron con rapidez para solucionar la incidencia. El incumplimiento de lo establecido en el artículo 9.1 de la LOPD no se produce en exclusiva en supuestos de ausencia total de tales medidas, sino también en aquellos otros, como el analizado en este caso, en los que las adoptadas resultaran insuficientes o no efectivas y esta insuficiencia sea imputable a título de culpa. VI El artículo 44.3.
15. h)tipifica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” Dado que, con arreglo a los argumentos expuestos en los anteriores Fundamentos de Derecho, ha existido vulneración del “principio de seguridad de los datos” recogido en el artículo 9.1 de la LOPD, se considera que el Servicio Madrileño de Salud ha incurrido en la infracción grave descrita, toda vez que los datos personales de pacientes resultaron accesibles por parte de terceros a raíz de una insuficiente o ineficaz implementación de la medida de seguridad prevista en el artículo 91. 2 y 3 del RLOPD. VII En segundo lugar, procede dilucidar si la conducta del Servicio Madrileño de Salud vulnera lo dispuesto en el artículo 10 de la LOPD, que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. Este deber de secreto está lógicamente relacionado con el secreto profesional. En este sentido el deber de sigilo como han señalado en numerosas SSAN, "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida” El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11.2 de la misma (comunicación de datos). En definitiva, el deber de secreto comporta que el Servicio Madrileño de Salud, responsable del sistema de información de acceso a historias clínicas por parte de los usuarios, no puede revelar ni dar a conocer los datos personales contenidos en esos ficheros a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la Ley. En este caso concreto ha quedado constatado el acceso por terceras personas a los datos de las historias clínicas de otros usuarios, siendo el Servicio Madrileño de Salud responsable de la confidencialidad de las mismas y de que terceros no puedan acceder a consultarlas sin mediar consentimiento de los afectados para ello o concurrir habilitación legal que ampara tal revelación de datos, circunstancias que no se producen en este supuesto, lo que establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. Se observa que el acceso de datos personales de terceros por usuarios del sistema afectaba a datos identificativos, fechas de nacimiento, números de CIP, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 números de Historias Clínicas, información clínica y exploraciones solicitadas correspondientes a otros pacientes. En este caso, consta probado que la denunciante tuvo acceso a través de la reseñada aplicación “Horus” a datos personales y de salud de otras personas, habiéndose reconocido también por el Servicio Madrileño de Salud que otros dos usuarios accedieron a ese tipo de información de terceros. Sobre este punto, se recuerda que en el “Registro de Incidencias” aportado por dicho Servicio se recogen un total de seis registros correspondientes a sendas comunicaciones de usuarios del citado sistema formuladas entre el 30/06/2017 y el 09/02/2018 por haber accedido a informes de pruebas de imagen de otros ciudadanos. VIII La conducta descrita en el Fundamento de Derecho anterior se incardina en el artículo 44.3.
16. d)de la LOPD, que tipifica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con lo expuesto, se considera que por parte del Servicio Madrileño de Salud se ha producido una vulneración del deber de secreto, ya que consta probado que dicho servicio no ha impedido que los datos de los usuarios del sistema “Horus” fueran accedidos por terceros, conducta que procede calificar como infracción grave a lo previsto en el artículo 44.3.
17. d)de la LOPD. IX El artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece respecto del “Principio de Tipicidad” lo siguiente: “Artículo 27. Principio de tipicidad 1. Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley, sin perjuicio de lo dispuesto para la Administración Local en el Título XI de la Ley 7/1985, de 2 de abril. Las infracciones administrativas se clasificarán por la Ley en leves, graves y muy graves. 2. Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley. 3. Las disposiciones reglamentarias de desarrollo podrán introducir especificaciones o graduaciones al cuadro de las infracciones o sanciones establecidas legalmente que, sin constituir nuevas infracciones o sanciones, ni alterar la naturaleza o límites de las que la Ley contempla, contribuyan a la más correcta identificación de las conductas o a la más precisa determinación de las sanciones correspondientes. 4. Las normas definidoras de infracciones y sanciones no serán susceptibles de aplicación analógica.” En el presente caso la descripción de las conductas que establecen los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 artículos 44.3.
18. h)y 44.3.
19. d)de la LOPD en relación, respectivamente, con los artículos 9.1 de la LOPD y 10 de la LOPD, cumple las exigencias derivadas del citado principio de tipicidad, toda vez que están calificadas como infracción grave en los reseñados preceptos y no cabe subsumirlas dentro de ninguno de los tipos recogidos como infracción leve en el artículo 44.2 de la reseñada Ley Orgánica. En consecuencia, debe rechazarse la solicitud de modificación de la calificación de las infracciones descritas a infracción leve. Respecto de esta cuestión en la Sentencia de la Audiencia Nacional de fecha 17 de octubre de 2007, Recurso 23/2006, se indicaba: “Por tanto, concurre la tipicidad cuya infracción se denuncia en el escrito de demanda, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra.” X Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente supuesto, se estima que no proceder requerir al Servicio Madrileño de Salud la adopción de medidas de seguridad internas para que se corrijan los efectos de las infracciones descritas, toda vez que por parte del mismo se adoptaron las medidas necesarias para corregir la incidencia en el sistema de accesos a las historias clínicas por los usuarios, todo ello para evitar que en el futuro puedan producirse una nueva infracción de los artículos 9.1 y 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 PRIMERO: DECLARAR que el SERVICIO MADRILEÑO DE SALUD (CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID) ha infringido lo dispuesto en el artículo 9.1 de la LOPD en su relación con lo dispuesto en el artículo 91. 2 y 3 del RLOPD, tipificada como grave en el artículo 44.3.
20. h)de la citada Ley Orgánica. SEGUNDO: Declarar que el SERVICIO MADRILEÑO DE SALUD (CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID) ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
21. d)de dicha norma. TERCERO: NOTIFICAR la presente resolución al SERVICIO MADRILEÑO DE SALUD (CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID) . CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es