1/15 Procedimiento Nº AP/00032/2017 RESOLUCIÓN: R/03218/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00032/2017, instruido por la Agencia Española de Protección de Datos al SERVICIO CANARIO DE LA SALUD, COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, (CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS), y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 12 de diciembre de 2016 se registra de entrada en esta Agencia escrito de Dña. B.B.B., (en lo sucesivo la denunciante), poniendo de manifiesto que, con fecha 15 de noviembre de 2016, al ser dada de alta de una intervención quirúrgica que le habían realizado en el Complejo Hospitalario Universitario Insular- Materno Infantil de Gran Canaria, en lugar de entregarle el informe de alta correspondiente a su persona le proporcionaron el “Informe de Cuidados de Enfermería” de otra paciente. La denunciante adjunta copia de un “Informe de Cuidados de Enfermería” del Servicio Canario de la Salud, Complejo Hospitalario Universitario Insular- Materno Infantil de Gran Canaria, en adelante correspondiente a Dña. A.A.A., en el que junto con los datos personales de la misma (fecha de nacimiento, edad, sexo, DNI, domicilio, teléfono) y números de historia clínica, NASS, CIP de C Autónoma y Código SNS, también aparece información referida al proceso médico que originó el informe aportado, tales como el servicio/unidad en que fue atendida dicha persona, causas que generan la actuación enfermera, motivo de alta/derivación enfermera, antecedentes médicos y entorno de la paciente, valoración activa que incluye diagnósticos enfermeros y resumen de la estancia de la reseñada paciente, así como los consejos a seguir por el paciente tras el alta. Igualmente, en dicho informe, firmado el 15 de noviembre de 2016, aparece el nombre y apellidos de la enfermera responsable del informe. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia solicitaron información al respecto al Servicio Canario de la Salud, del que depende el Complejo Hospitalario denunciado, registrándose con fecha 1 de febrero de 2017 escrito del mencionado Servicio en el que se comunica que: a. Los hechos ocurridos pudieron deberse a que las dos pacientes estaban ingresadas en la misma época en el Servicio de Ginecología, una en la cama 32 y la otra en la 33. b. Los informes de los pacientes se le entregan en sobre cerrado, por lo que ha existido un error a la hora de entregar los sobres. c. Si la denunciante hubiera comunicado la situación se hubiera actuado en forma inmediata. Tampoco ha reclamado en el Servicio de Atención al Paciente. d. Se va a proceder a llamar a las pacientes para, en lo posible, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 solventar el error. TERCERO: Con fecha 19 de julio de 2017, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio Canario de la Salud, Complejo Hospitalario Universitario Insular-Materno Infantil (Consejería de Sanidad del Gobierno de Canarias), en adelante Servicio Canario de la Salud, por las presuntas infracciones a lo previsto en el artículo 9 de la LOPD en relación con lo dispuesto en el artículo 97.2 del RLOPD y a lo previsto en el artículo 10 de la citada norma, tipificadas como infracción grave en el artículo 44.3.
- h)y 44.3.d), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 3 de agosto de 2017 se registra escrito del Servicio Canario de la Salud solicitando:
- a)copia de la documentación obrante en el procedimiento con la finalidad de poder ejercer su derecho a la defensa y
- b)suspensión del plazo de los días hábiles otorgados para formular alegaciones hasta recibir la citada documentación. Con fecha 7 de agosto de 2017 se remite al mencionado Servicio copia de la documentación del procedimiento, integrada por los folios número 1 al 28, excepción hecha del folio 3 que se corresponde con copia del DNI de la denunciante. Asimismo, se comunica a dicho Servicio que, a los efectos pretendidos, y en virtud de lo establecido en el artículo 32 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se acuerda ampliar el plazo para formular alegaciones hasta un máximo de cinco días, computables a partir del día siguiente a aquél en el que finalice el primer plazo de alegaciones. QUINTO: Recibida la copia de dicha documentación, con fecha 31 de agosto de 2017 se registra de entrada en esta Agencia escrito de alegaciones del Servicio Canario de la Salud, en el que, en síntesis, manifestando que: “Se ha producido un error humano, a la hora de llevar a cabo la entrega de la documentación de las pacientes, por despiste o error en la marcación de los sobres. La documentación entregada son los cuidados de enfermería para el control de dolor tras intervención quirúrgica. A fecha del presente escrito, desde la Asesoría Jurídica del Complejo Hospitalario, se da traslado a la Dirección de Enfermería de una serie de indicaciones a la hora de verificar la entrega del sobre con la corresponsabilidad con el paciente ingresado en este Complejo Hospitalario, se adjunta dicho escrito a las presentes alegaciones, teniendo en la consideración que con dichas indicaciones sean suficientes a la hora de que no se vuelva a producir algún error más en el futuro.” En dicho informe, con asunto: “Entrega de Informes de Cuidados de Enfermería a pacientes”, tras comunicar la incoación del presente procedimiento, se indica: “El hecho ocurrido es que se ha entregado una documentación a paciente diferente, es decir, la documentación de la paciente de la cama 32 se le entrega a la de la cama 33 y viceversa. A los efectos de evitar en futuros errores como el presente que ha ocasionado la incoación del citado expediente, y dado que se tiene conocimiento no solo de la historia clínica, sino también de sus datos personales, es por lo que se recomienda que esa Dirección de Enfermería dé las oportunas instrucciones a los efectos de que se tomen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 las medidas de verificación previas antes de entregar ningún informe a las pacientes, solicitando que comprobar que la/s paciente/s que está encamada coincida con la usuaria que se detalla en el informe, y en caso de duda, solicitar la verificación por cualquier medio de acreditación documental válida en Derecho, por ejemplo DNI, Pasaporte o carnet de conducir, entre otros.” SEXTO: Con fecha 1 de septiembre se inicia por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en cuyo marco se acordó practicar las siguientes pruebas: -Incorporar al expediente del procedimiento, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/07030/2016. Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del Procedimiento de declaración de Infracción de Administraciones Públicas AP/00032/2017 presentadas por el Servicio Canario de la Salud, Complejo Hospitalario Universitario Insular-Materno Infantil. Todo ello con su correspondiente documentación adjunta. - Solicitar al Servicio Canario de la Salud, Complejo Hospitalario Universitario Insular-Materno Infantil, remisión de copia del protocolo o sistema establecido en la fecha de los hechos denunciados para la entrega de informes y/o historias clínicas. SÉPTIMO: Con fecha 19 de septiembre de 2017 se registra de entrada escrito del Servicio Canario de la Salud ratificándose en las manifestaciones efectuadas con anterioridad y remitiendo la siguiente documentación: -Guía/P5TG/001. Guía de Funcionamiento de la Unidad de Hospitalización Tocoginecología. Planta 5. Hospital Universitario Materno Infantil de Canarias. -Guía/DENM/001. Guía de Funcionamiento. Subdirección de Enfermería. Hospital Universitario Materno Infantil de Canarias. -MN/P4E/001. Manual de Acogida para el Personal de Enfermería de Nueva Incorporación. Unidad de Especialidades. Hospital Universitario Materno Infantil de Canarias. HECHOS PROBADOS PRIMERO: La denunciante, Dña. B.B.B., permaneció ingresada con motivo de una intervención quirúrgica que le fue realizada en el mes de noviembre de 2016 en el Complejo Hospitalario Universitario Insular- Materno Infantil de Gran Canaria, adscrito al Servicio Canario de la Salud del Gobierno de Canarias. (folios 1, 11) SEGUNDO: Con fecha 15 de noviembre de 2016 la denunciante recibió, al ser dada de alta, el “Informe de Cuidados de Enfermería” de otra paciente, concretamente, el de Dña. A.A.A., en adelante XXXX. (folios 4 al 6) Dicho informe se corresponde con “los cuidados de enfermería para el control de dolor tras intervención quirúrgica”. (folio 32) TERCERO: La denunciante aportó junto a su denuncia copia del “Informe de Cuidados de Enfermería” del Servicio Canario de la Salud, Complejo Hospitalario Universitario Insular- Materno Infantil de Gran Canaria, de fecha 15 de noviembre de 2016, correspondiente a la paciente XXXX con nº de historia clínica C.C.C.. Dicho documento contiene los siguientes datos personales de XXXX: (folios 4 al 6) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Nombre, apellidos, fecha de nacimiento, edad, sexo, DNI, domicilio, municipio, teléfono, nº de historia clínica, nº NASS, nº CIP de C Autónoma y código SNS. Asimismo, aparece información referida al proceso médico que originó el informe aportado, constando el servicio/unidad en que la paciente XXXX fue atendida, causas que generan la actuación enfermera, motivo de alta/derivación enfermera, antecedentes médicos y entorno de la paciente, valoración activa que incluye diagnósticos enfermeros y resumen de la estancia de la reseñada paciente, así como los consejos a seguir por XXXX tras el alta. Igualmente, en dicho informe, firmado el 15 de noviembre de 2016, consta el nombre y apellidos de la enfermera responsable del informe. CUARTO: La Dirección Gerencia del Complejo Hospitalario Universitario InsularMaterno Infantil de Gran Canaria ha informado que mientras la denunciante ocupaba la cama nº XX.1 del Servicio de ***ESPECIALIDAD.1 del citado Complejo, la paciente XXXX ocupaba la cama nº XX.2 del mismo Servicio. También ha afirmado que los informes se entregan en sobre cerrado a los pacientes. (folios 4 y 11) QUINTO: La Dirección Gerencia del Complejo Hospitalario Universitario Insular-Materno Infantil de Gran Canaria ha aportado copia de las instrucciones enviadas el 24 de agosto de 2017 desde la Asesoría Jurídica a la Dirección de Enfermería del mismo, expresando la necesidad de adoptar medidas que permitan verificar la coincidencia entre los datos de los pacientes incluidos en los informes con la identidad de los de los pacientes receptores de los mismos, solicitándoles, en caso de duda, acreditación documental de la misma.(folios 32 y 33) SEXTO: El Servicio Canario de la Salud, Dirección Gerencia del CHUIMI, de la Consejería de Sanidad del Gobierno de Canarias es titular del fichero denominado “Gestión Clínica Pasivo His”, que tiene como finalidad la “Información de Gestión de Pacientes en Áreas de Admisión, Consultas Externas y Urgencias” (folio 19) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, dispone: “Artículo 85. Terminación en los procedimientos sancionadores. 1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que dicho Servicio ha reconocido los hechos imputados señalando que fueron fruto de un error, procede resolver el procedimiento iniciado. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, que traspuso al ordenamiento interno el contenido de la Directiva 95/46, dispone en su artículo 1 que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Atendido que el presente procedimiento afecta a medidas de seguridad que se refieren a datos de salud, ha de acudirse también a lo previsto en cuanto a “Datos especialmente protegidos” en el mencionado artículo 7 de la LOPD, precepto que establece un régimen específicamente protector para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo. En lo que nos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 interesa, los apartados 3 y 6 del artículo 7 de la LOPD establecen lo siguiente: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” “6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. “ Asimismo, el artículo 8 de la LOPD, respecto de los “Datos relativos a la salud”, establece que: “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” El artículo 79 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” En cuanto a la “Aplicación de los niveles de seguridad”Paralelamente, el artículo 81.1 del mismo reglamento establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, en el que el tratamiento analizado afecta a datos de salud, resulta de aplicación el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, que establece que: “3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:
- a)Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual”. Por lo que, en este caso, el Servicio Canario de la Salud, además de las medidas de nivel básico y medio, ha de adoptar las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud de los pacientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Por su parte, los apartados 1 al 4 del artículo 88 del RLOPD, establecen: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
- a)La identificación del responsable o responsables de seguridad.
- b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. “ Las medidas de seguridad aplicables a los ficheros y tratamientos automatizados se regulan en los artículos 89 a 104 del RLOPD, mientras que las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados se regulan en los artículos 105 al 114 de dicho Reglamento. En el presente supuesto, la infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD se vincula al presunto incumplimiento por parte del Servicio Canario de Salud de lo dispuesto en el artículo 97.2 (medidas de seguridad de nivel medio) y 101 (medidas de seguridad de nivel alto) del RLOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Sintetizando las previsiones legales reseñadas en el anterior Fundamento de Derecho puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias.
- d)El mantenimiento de ficheros,- cualquiera que sea la forma o modalidad de éstos-, programas o equipos carentes de las medidas de seguridad que impidan accesos o tratamientos no autorizados constituye una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley. A continuación se transcriben diversos conceptos relacionados con los preceptos de la normativa de protección de datos anteriormente citados. Así, en el artículo 3 de la LOPD se acuñan las siguientes definiciones: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.” “
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” “
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” Por su parte, el artículo 5.1.
- g)del RLOPD define como “
- g)Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” A su vez, las letras
- f)y ñ) del artículo 5.2 del RLOPD definen los siguientes conceptos en relación con lo dispuesto en el título VIII de dicho Reglamento, que tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 como rúbrica “De las medidas de seguridad en el tratamiento de datos de carácter personal”: “
- f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. V Completa el marco normativo que resulta de aplicación a los hechos probados descritos, la Ley 41/2002, de 14 de noviembre, “básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica”, en concreto, los artículos citados a continuación. El artículo 3 acuña las siguientes definiciones legales de “Historia clínica” e “Informe de alta médica”: “Historia clínica: el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial.” “Informe de alta médica: el documento emitido por el médico responsable en un centro sanitario al finalizar cada proceso asistencial de un paciente, que especifica los datos de éste, un resumen de su historial clínico, la actividad asistencial prestada, el diagnóstico y las recomendaciones terapéuticas.” El artículo 7 de dicha Ley 41/2002, en cuanto al “Derecho a la intimidad”, expresa que: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. El artículo 14.1 de la misma, con relación a la “Definición y archivo de la historia clínica”, establece que: “1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro.” El artículo 16 de la reseñada norma determina cuales son los “Usos de la historia clínica”, señalando en sus apartados 1 y 6 del mismo que: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 historia clínica de éste como instrumento fundamental para su adecuada asistencia. (…) 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.” El artículo 18 de la misma norma establece como “Derechos de acceso a la historia clínica” que; “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.” El artículo 17 de la Ley 41/2002, en su apartado 6, referido a “La conservación de la documentación clínica” determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. El artículo 19 de la citada Ley 41/200 indica sobre los “Derechos relacionados con la custodia de la historia clínica” que: “El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. Por último, el artículo 20 de dicha Ley establece en cuanto al “Informe de alta” “Todo paciente, familiar o persona vinculada a él, en su caso, tendrá el derecho a recibir del centro o servicio sanitario, una vez finalizado el servicio asistencias, un informe de alta con los contenidos mínimos que determina el artículo 3. Las características, requisitos y condiciones de los informes de alta se determinarán reglamentariamente por las Administraciones sanitarias autonómicas” VI De los hechos probados en este procedimiento, se deduce que el Servicio Canario de la Salud, en su calidad de responsable del tratamiento de los datos de contenidos en el “Informe de Cuidados de Enfermería” aportado por la denunciante, debió adoptar las medidas necesarias para impedir cualquier acceso a la información de carácter personal que contenía dicho documento por una persona distinta de la paciente destinataria del informe, titular de los datos identificativos y de salud detallados en el mismo, quien no consta hubiera autorizado a la denunciante para su recepción. Tales medidas de control no fueron adoptadas en el presente caso, ya que de haberse tenido el cuidado de comprobar, antes de cerrar el sobre, si había, o no, coincidencia entre los datos personales de la paciente contenidos en el referido informe con los datos de la paciente reseñados en la marcación del sobre o, cualquier otra que hubiera permitido comprobar la identidad de la persona a la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 entregaba dicho documento, seguridad de datos de salud. se hubiera podido evitar dicho fallo en materia de Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. Es decir, no basta con adoptar una serie de medidas formales para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, siendo también necesario velar por su instauración y cumplimiento efectivo. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En definitiva, el Servicio Canario de la Salud, en su calidad de responsable del tratamiento de los datos identificativos y de salud contenidos en las historias clínicas de los pacientes tratados en el Complejo Hospitalario Universitario Insular-Materno Infantil, que incluyen los informes como el estudiado, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para impedir el acceso a la información de carácter personal que contenía dicho documento por un tercero, por lo que debe considerarse que vulneró el artículo 9.1 de la LOPD en su relación con lo previsto en el artículo 97.2 del Reglamento de la LOPD, que, bajo la rúbrica “Gestión de soportes y documentos”, dispone: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.” VII El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Servicio Canario de la Salud no adoptó las medidas de seguridad adecuadas para evitar un acceso no autorizado de la denunciante al contenido del citado “Informe de Cuidados de Enfermería”, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 datos personales concernientes a la salud de otra paciente. Conducta de la que el citado Servicio resulta responsable a título de culpa, ya que pudo haber actuado de un modo distinto, puesto que podía haber contado con mecanismos de control más rigurosos y seguros a fin de identificar a los destinatarios de este tipo de documentos con datos especialmente protegidos. Todo ello, sin perjuicio de que consta que el Servicio Canario de la Salud ha procedido a impartir las instrucciones necesarias para que se reforzasen las medidas de verificación previa de la identidad de los pacientes a los que se entrega documentación por parte del Servicio de Enfermería del Complejo Hospitalario Universitario Insular-Materno Infantil. VIII El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". Dicho precepto de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula el deber de secreto del responsable del fichero y/o tratamiento a fin de garantizar que los datos personales objeto de tratamiento no puedan conocerse por terceros, salvo que se trate de una comunicación de datos que responda a alguno de los supuestos previstos en el artículo 11.2 de la LOPD. En este procedimiento se ha acreditado que el Servicio Canario de la Salud entrego a la denunciante el “Informe de Cuidados de Enfermería” correspondiente a otra paciente, divulgando con ello datos de salud concernientes a ésta, incluidos sus datos identificativos, a un tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada. De este modo, el artículo 7.3 de la LOPD dispone que: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente.” Por lo que, en el caso examinado, el deber de secreto comporta que el Servicio Canario de la Salud, responsable de los datos de salud de sus pacientes (datos especialmente protegidos), no puede revelar ese tipo de información a terceros, salvo con consentimiento expreso de los afectados o en los casos autorizados por la ley. IX La conducta analizada se incardina en el artículo 44.3.
- d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que el Servicio Canario de la Salud ha divulgado datos personales de una de sus pacientes al entregarle a la denunciante un documento (“Informe de Cuidados de Enfermería”) que contenía datos identificativos y de salud correspondientes a otra paciente. Dado que se ha producido la vulneración del deber de secreto descrita por parte del Servicio Canario de la Salud, que concierne a datos de salud especialmente protegidos de una paciente, se considera que ha incurrido en la infracción del artículo 44.3.
- d)de la LOPD descrita. X El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Sin embargo, en el presente supuesto, no procede instar la adopción de medidas adicionales dadas las circunstancias que concurren, ya que se considera que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 las infracciones cometidas han tenido su origen en un error puntual a la hora de llevar a cabo la entrega de la documentación en cuestión, correspondiente a dos pacientes que habían estado ingresadas en un mismo servicio del Complejo Hospitalario en la misma época y, además, en camas con numeración consecutiva. Asimismo, consta que por parte la Asesoría Jurídica de citado Complejo Hospitalario se han impartido instrucciones a la Dirección de Enfermería para reforzar las medidas de verificación previas a la entrega de informes a los pacientes, solicitándoles, en caso de duda, acreditación documental de la identidad del paciente receptor. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO CANARIO DE LA SALUD, COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, (CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS), ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en su relación con lo dispuesto en el artículo 97.2 del RDLOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: DECLARAR que el SERVICIO CANARIO DE LA SALUD, COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, (CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS), ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución al SERVICIO CANARIO DE LA SALUD, COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, (CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS). CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es