1/12 Procedimiento Nº AP/00029/2018 RESOLUCIÓN: R/01252/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00029/2018, instruido por la Agencia Española de Protección de Datos al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 17 de enero de 2018, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que expone que ella es enfermera del Cuerpo de Funcionarios Enfermeros de Instituciones Penitenciarias, destinada en el Centro de Inserción Social R.R.R. (en adelante el CIS). El CIS cuenta con un Servicio de enfermería reconocido en la Comunidad de Madrid como “Servicio sanitario integrado en una organización no sanitaria con unidades U.2 de enfermería”, en el que están destinadas la denunciante como enfermera y una auxiliar de enfermería. Con fecha 23 de noviembre de 2017, la denunciante solicita a la Dirección del CIS realizar jornada de mañana y tarde el día 4 de diciembre y librar el 7 del mismo mes. En contestación a su solicitud recibe un correo electrónico del Director del CIS con el texto: “Buenos días; se ha recibido petición de jornada acumulada el 4/12/2017 para librar el 7/12/2017. Le informó que esta Dirección, al solo contar con un sanitario de servicio, ha seguido durante años el criterio de no autorizar las acumulaciones. También le informo que cualquier día de la semana puede cambiar el turno de mañana a tarde pero no los viernes por razones evidentes del servicio que usted conoce. Tampoco tengo el criterio de autorizar jornada acumulada los viernes como usted hizo el pasado 10/11/2017. Se autorizó porque yo me encontraba ausente y tuve conocimiento a posteriori. Como usted sabe el hecho que no haya de servicio ningún sanitario ha ocurrido y ocurrirá siempre que usted disfrute de los permisos y licencias que solicite. Pero cosa distinta es autorizar una acumulación que no está motivada por necesidades del servicio y que genera derecho a librar. Esta dirección tiene un criterio flexible para facilitar la conciliación de la vida familiar y personal. Por ello se autorizó que, el pasado 30 y 31 de octubre, se ausentaran ambas sanitarias, ya que en el CIS quedaron muy pocos residentes, casi como un fin de semana. Al estar previsto el lunes 30 ingresos se pudo autorizar porque la auxiliar de enfermería me facilitó las claves de acceso a la historia clínica digital e informó del lugar donde se dejan las llaves de los archivadores de las historias clínicas. En caso de urgencia y necesidad esta Dirección debe poder acceder a esta información sanitaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Para poder resolver su petición debería contestar a todas estas preguntas al no estar la auxiliar de clínica. ¿Me va a entregar las llaves de los archivadores de las historias clínicas cuando tenga previsto ausentarse? ¿Se guardan en el mismo sitio de fácil acceso que la auxiliar me dijo?. ¿Cómo puede esta Dirección acceder a la información de la historia clínica digital en su ausencia?”. Con fecha 30 de noviembre de 2017, el Director del CIS, se persona en la enfermería y exige a la denunciante la entrega de las llaves de los archivadores de las Historias Clínicas para hacer una copia, quedando los archivadores abiertos hasta el día siguiente en que le devolvieron las llaves. Así mismo, la denunciante ha revisado los accesos a diferentes historias clínicas digitales observando que: Con fecha 9, 16, 24 y 31 de agosto, desde un ordenador de la enfermería del CIS, se han realizado 7 accesos a otras tantas historias clínicas con la clave de la auxiliar de enfermería. Aporta cuadro con el detalle de los accesos. En las fechas de los accesos, la auxiliar con cuya clave se accede se encontraba de vacaciones, entre el 3 de agosto y el 3 de septiembre. La denunciante en esas fechas se encontraba de baja. Con fecha 21 de noviembre de 2017 se realiza un acceso a otra historia clínica con el mismo usuario de la auxiliar de enfermería, cuando se encontraba en esa fecha de baja. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 1 de marzo de 2018, el director del Centro de Inserción Social R.R.R., ha remitido a la Agencia la siguiente información en relación con los hechos denunciados: El fichero “historia clínica” en Centros Penitenciarios tiene dos tipos de soportes: el documental y la historia clínica digital (HCD). Este formato digital empezó en el año 2017 y está regulado en la Orden INT/867/2017, de 28 de agosto. Ambos formatos coexisten para la mayoría de los internos, y algunos de reciente ingreso solo tienen la historia clínica en formato digital. En el CIS, a la historia clínica documental, en esta fecha, solo tiene acceso la enfermera, denunciante en este procedimiento. No obstante, sin acceder al contenido de la historia, pero si a las carpetas físicas, hay otros 6 profesionales penitenciarios, con funciones administrativas que intervienen en el traslado y archivo de la historia. Se trata de una carpeta azul, cerrada con solapas. Cuando un interno se traslada a otro Centro, debe acompañarle su documentación sanitaria. Los archivadores se encuentran en un despacho cerrado y son gestionados por funcionarios administrativos cuando se trasladan a otro Centro o al archivo general. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Dado que en el CIS solo hay ahora un sanitario (la denunciante) que puede tener permisos y ausencias justificadas, la Dirección debe facilitar el acceso a los archivadores donde se encuentran las carpetas de historia clínica. Habitualmente en el CIS había tres sanitarios, dos desde diciembre de 2016 y desde enero de 2018, solo uno. Los archivadores se encuentran cerrados con llave, que a su vez, se encuentran en un despacho de los sanitarios cerrado con llave. El administrador, a su vez, debe tener custodiadas copia de todas las llaves del Centro. Respecto a la HCD, en la actualidad solo tienen acceso la denunciante y se empezó a usar de forma habitual desde octubre de 2017. Respecto de los hechos denunciados, la auxiliar de enfermería solo indicó donde guardaba apuntadas las claves de acceso ya que se encontraba de viaje y por si había una urgencia, sin embargo no llegaron a utilizarse. Manifiesta el Director en su escrito que los accesos aportados por la denunciante se realizaron por la auxiliar de enfermería aunque conste de vacaciones, ya que él mismo la llamó para que acudiera al Centro el 31 de agosto de 2017 y ella misma fue por propia iniciativa el 24 de agosto de 2017, ya que se había comprometido a acudir al Centro aun cuando estuviera de vacaciones. Respecto al resto de los accesos no se aporta información, indicando que sería difícil afirmar qué ocurrió. En relación con el correo electrónico aportado por la denunciante, según manifiestan se envió en el siguiente contexto: la auxiliar de enfermería se encontraba de baja por enfermedad y mantenía con la denunciante un fuerte conflicto laboral con varias denuncias y actuaciones de la Inspección Penitenciaria. El día 23 de noviembre la denunciante se fue en mitad de la jornada para acudir al médico, cuando se le había comunicado que no se autorizaba la acumulación de jornada. Esa misma tarde, pensando que se podrían quedar sin personal sanitario, el director revisó las dependencias sanitarias con la copia de la llave que tiene el administrador, comprobando que no están las llaves de los archivadores de las historias clínicas, dado que la denunciante, de forma reiterada, se niega a facilitar la ubicación de las mismas. Con fecha 29 de noviembre de 2017, se le ordenó entregarlas para hacer una copia que debe tener el administrador y que antes no existía. Por otra parte manifiestan que el director desconoce si la aplicación de HCD, dispone de diferentes niveles de acceso para personal sanitario y administrativo y si se puede disponer de algún acceso para que, con consentimiento del interesado, se le pueda facilitar información que necesite con urgencia en ausencia de sanitarios en el CIS, que es en el único caso que el director se plantearía la posibilidad de acceder a la historia clínica. TERCERO: Con fecha 13 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 En el acuerdo de Inicio del procedimiento de declaración de infracción de Administraciones Públicas, la Directora de la Agencia Española de Protección de Datos también acordó: “3. INCORPORAR al procedimiento de declaración de infracción de administraciones públicas, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos forman parte del expediente. 4. NOTIFICAR el presente Acuerdo al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere convenientes, de acuerdo con lo preceptuado en el apartado
- f)del artículo 127 del RLOPD.” Asimismo, en dicho acto se señalaba que: “de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio o reconociese la responsabilidad, el mismo podrá ser considerado propuesta de resolución.”. CUARTO: Con fecha 3 de mayo de 2018 la denunciante presenta un escrito ampliatorio de su denuncia, aportando constancia de un nuevo acceso con la clave de la auxiliar de enfermería el día 21 de noviembre de 2017, momento en que la auxiliar se encontraba de baja laboral y la denunciante ya no se encontraba en su puesto de trabajo por haber finalizado su jornada laboral. QUINTO: La notificación del Acuerdo de Inicio del AP/00029/2018, según consta en certificado emitido, con fecha 27 de abril de 2018, por el Servicio de Notificaciones electrónicas y Dirección electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda, fue puesta a disposición del Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, con fecha 16 de abril de 2018. Según consta en certificado emitido por el servicio de correos, la notificación del acuerdo de inicio del procedimiento AP/00029/2018 fue entregada con fecha 18 de mayo de 2018. SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, dado que en la notificación del acuerdo de apertura del procedimiento se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entendería el mismo como propuesta de resolución. HECHOS PROBADOS PRIMERO: La denunciante ha comunicado que es enfermera del Cuerpo de Funcionarios Enfermeros de Instituciones Penitenciarias, destinada en el Centro de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Inserción Social R.R.R. donde se cuenta con un Servicio de enfermería en el que están destinadas la denunciante como enfermera y una auxiliar de enfermería. SEGUNDO: Con fecha 24 de noviembre de 2017, en respuesta a una solicitud suya, recibe un correo electrónico del Director del CIS con el texto "Esta dirección tiene un criterio flexible para facilitar la conciliación de la vida familiar y personal. Por ello se autorizó que, el pasado 30 y 31 de octubre, se ausentaran ambas sanitarias, ya que en el CIS quedaron muy pocos residentes, casi como un fin de semana. Al estar previsto el lunes 30 ingresos se pudo autorizar porque la auxiliar de enfermería me facilitó las claves de acceso a la historia clínica digital e informó del lugar donde se dejan las llaves de los archivadores de las historias clínicas. En caso de urgencia y necesidad esta Dirección debe poder acceder a esta información sanitaria." TERCERO: La denunciante ha aportado constancia de accesos a historias clínicas digitales en el CIS, observando que en las fechas de los accesos, la auxiliar, con cuya clave se accede, se encontraba de vacaciones o de baja. CUARTO: El director del Centro de Inserción Social R.R.R., ha informado a la Agencia, en relación con los hechos denunciados, que el fichero “historia clínica” en Centros Penitenciarios tiene dos tipos de soportes: el documental y la historia clínica digital (HCD). Este formato digital empezó en el año 2017. En el CIS, a la historia clínica documental, en esta fecha, solo tiene acceso la enfermera, denunciante en este procedimiento. También manifiesta que hay otros 6 profesionales penitenciarios, con funciones administrativas que intervienen en el traslado y archivo de la historia. Los archivadores se encuentran cerrados con llave, en un despacho de los sanitarios cerrado con llave. El administrador, a su vez, debe tener custodiadas copia de todas las llaves del Centro. QUINTO: Respecto a la HCD, en la actualidad solo tiene acceso la denunciante y se empezó a usar de forma habitual desde octubre de 2017. Manifiesta el director que respecto de los hechos denunciados, la auxiliar de enfermería solo indicó donde guardaba apuntadas las claves de acceso ya que se encontraba de viaje y por si había una urgencia, sin embargo no llegaron a utilizarse. Manifiesta el Director en su escrito que los accesos aportados por la denunciante se realizaron por la auxiliar de enfermería aunque conste de vacaciones, ya que él mismo la llamó para que acudiera al Centro uno de los días y ella misma fue por propia iniciativa otro, ya que se había comprometido a acudir al Centro aun cuando estuviera de vacaciones. Respecto al resto de los accesos no se aporta información, indicando que sería difícil afirmar qué ocurrió. SEXTO: Por otra parte manifiesta el director del CIS denunciado, que desconoce si la aplicación de HCD dispone de diferentes niveles de acceso para personal sanitario y administrativo y si se puede disponer de algún acceso para que, con consentimiento del interesado, se le pueda facilitar información que necesite con urgencia en ausencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 de sanitarios en el CIS, que es en el único caso que el director se plantearía la posibilidad de acceder a la historia clínica. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” IV Se imputa al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). El citado Reglamento regula: “Artículo 89: “Funciones y obligaciones del personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento. 2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. Artículo 91: “Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 113: “Acceso a la documentación. 1. El acceso a la documentación se limitará exclusivamente al personal autorizado. 2. Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por múltiples usuarios. 3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad”. Dicha infracción aparece tipificada como grave en el artículo 44.3.
- h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Así, el Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, como responsable del fichero de datos personales de las historias clínicas de Centros Penitenciarios, está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada. En el caso presente se ha denunciado el acceso al fichero digital de historias clínicas del Centro Penitenciario R.R.R., con la clave de un usuario del sistema que no se encontraba de servicio en el centro en ese momento. El Director del Centro manifiesta que la auxiliar de enfermería indicó donde guardaba apuntadas las claves de acceso porque se encontraba de viaje por si había una urgencia, pero que no llegaron a utilizarse. Por otra parte con relación al fichero documental de historia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 clínica, la denunciante, enfermera del Centro, ha manifestado que se le retiraron las llaves del armario en que se custodian para realizar una copia. El director del Centro ha informado de que a la historia clínica documental solo tiene acceso la enfermera, denunciante en este procedimiento y que el administrador debe tener una copia de la llave. La denunciante ha aportado constancia de los accesos realizados con la clave de la auxiliar de enfermería en fechas en que no se encontraba en su puesto de trabajo. El director del Centro ha informado que algunos de los accesos se realizaron por la auxiliar aunque conste de vacaciones y de otros accesos indica que sería difícil afirmar qué ocurrió. De los hechos constatados en el procedimiento se deduce que se han utilizado las claves de acceso al fichero digital de historias clínicas del Centro Penitenciario denunciado sin las debidas medidas de seguridad al utilizar claves de acceso de unos usuarios por parte de otros, sin que existan claves de acceso suficientes para asegurar el funcionamiento del centro en ausencia de los sanitarios, tomando en consideración que, a un fichero con datos personales especialmente protegidos como son los relativos a la salud, le corresponden unas medidas de seguridad de nivel alto. Por otra parte se constata también que no se dispone de las medidas de seguridad adecuadas en el acceso al fichero documental de historias clínicas, debiendo custodiarse y controlar los mecanismos de apertura de los armarios o contenedores de las historias clínicas y disponer de un mecanismo que permita identificar los accesos realizados en caso de usuarios múltiples. Los artículos 113 y 114 del RLOPD exponen las medidas de seguridad de nivel alto necesarias para un fichero como el que es objeto de denuncia en esta ocasión, tanto para el acceso a la documentación como para su traslado. El Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal del fichero de historias clínicas del Centro penitenciario denunciado, por ello, debe considerarse que ha vulnerado la LOPD. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
- h)tipifica como infracción grave la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Ministerio del Interior, Secretaría General de Instituciones Penitenciarias carece de las medidas de seguridad que la Ley exige al responsable del fichero. De acuerdo con los fundamentos anteriores, se deduce que por parte del Ministerio del Interior, Secretaría General de Instituciones Penitenciarias se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el acceso no autorizado a los datos personales del fichero denunciado, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el Ministerio del Interior, Secretaría General de Instituciones Penitenciarias ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 SEGUNDO: NO REQUERIR por parte de la Agencia, la adopción de una concreta medida correctora toda vez que ya se han hecho las consideraciones pertinentes. TERCERO: NOTIFICAR la presente resolución al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es