1/11 Procedimiento Nº AP/00035/2017 RESOLUCIÓN: R/03304/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00035/2017, instruido por la Agencia Española de Protección de Datos a la Gerencia Atención Primaria de Burgos de la Consejería de Sanidad de la Junta de Castilla y León, vista la denuncia presentada por Dña. D.D.D., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de diciembre de 2016 se registra de entrada en esta Agencia escrito de Dña. D.D.D., (en lo sucesivo la denunciante), poniendo de manifiesto que tras solicitar copia completa de su historia clínica a la Gerencia de Atención Primaria de Burgos recibió escrito del citado organismo, de fecha 5 de diciembre de 2016, informándole que dicha documentación se encontraba a su disposición en la Secretaría de Dirección de esa Gerencia. Añade la denunciante que con fecha 14 de diciembre de 2016 junto con la copia de su historia clínica también le fue entregada documentación médica expedida por la Consejería de Sanidad de la Junta de Castilla y León a nombre de otras tres personas, cuya copia aporta. La documentación aportada por la denunciante se integra por: -Dos informes de fecha 10/11/2016 denominados “Programa de Detección Precoz del Cáncer de Mama” correspondientes a Dña. B.B.B. y de Dña. C.C.C.. - Un informe de fecha 07/10/2016 denominado “Programa de Detección Precoz del Cáncer de Mama. Informe de seguimiento” correspondiente a Dña María A.A.A.. En los citados informes figuran anotados: el nº de C.I.P. nº caso, nombre y apellidos, fecha nacimiento, DNI, nº Seguridad Social, nº teléfono fijo y móvil, dirección y zona de salud de las mencionadas personas, así como el resultado de las mamografías y, en su caso, pruebas complementarias realizadas. Todos ellos están dirigidos a la misma doctora. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento de los siguientes hechos: 2.1 Con fecha 31 de marzo de 2017 la Gerencia de Atención Primaria de Burgos, de la Consejería de Sanidad de la Junta de Castilla y León, (en adelante la denunciada), comunica en relación con los hechos denunciados que: 2.1.1 Con fecha 23/11/2016 la denunciante solicita a la Gerencia de Atención Primaria de Burgos copia de su Historia clínica. Con fecha 28/11/2016 la Dirección Médica de esa Gerencia solicita dicha copia a la Médica de Familia de la solicitante. 2.1.2 Con fecha 05/12/2016, la Dirección médica informa a la denunciante que puede pasar a recoger la copia, siendo entregada a la interesada de forma presencial el 14/12/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 2.1.3. La Gerencia es responsable de la gestión, guarda y custodia de la Historia clínica de Atención Primaria, y tiene establecidas las medidas de seguridad con objeto de asegurar la confidencialidad. Entre las cuales se incluye revisar la documentación contenida en la misma antes de entregar y/o enviar la copia de la Historia Clínica al interesado y/u Organismo. 2.1.4. Los documentos de la Historia Clínica no van foliados y la Gerencia no se queda con copia de la Historia Clínica facilitada a los interesados, estando el original en el Centro de Salud. 2.1.5. Con fecha 20/12/2016, se recibe escrito de la denunciante, en el que comunica que los folios 13º, 14º y 15º facilitados contienen informes pertenecientes a otras personas, aunque no adjunta copia de los mismos. Desde la Gerencia se intentó contactar con la denunciante en los días siguientes para que aportase copia de dicha documentación a la que se refería debido a la imposibilidad de revisar la Historia Clínica por los motivos expuestos. Se dejó mensaje en el contestador de la denunciante, no obstante no se ha recibido respuesta. 2.1.6. Una vez recibido el escrito de la Agencia incluyendo copia de tres informes de pacientes se comprueba que éstos pertenecen al cupo de la doctora E.E.E., a quien se le solicita copia de la Historia Clínica original de la denunciante. Revisada dicha documentación, se verifica que en la misma no constan los mencionados informes. 2.1.7. Atendido que la práctica habitual, antes de entregar la Historia Clínica, es comprobar que todos los documentos de la misma se refieren al interesado, desde la Gerencia y el Centro de Salud se ignora la causa de lo ocurrido, pues no son conscientes de que haya habido un error en el protocolo establecido para su entrega al paciente. 2.2 La Gerencia de Atención Primaria de Burgos, de la Consejería de Sanidad de la Junta de Castilla y León, figura como responsable del fichero “Historias Clínicas” inscrito en el Registro General de Protección de Datos de la AEPD, constando como finalidad del mismo: “Disponer de los datos de la Historia Clínica del paciente para el seguimiento del mismo. Gestión de la actividad asistencial. Estudios de morbilidad, gestión financiera, Actividad docente, producción de estadísticas e Investigación Sanitaria. TERCERO: Con fecha 27 de julio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Gerencia Atención Primaria de Burgos de la Consejería de Sanidad de la Junta de Castilla y León por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. Dicho Dicho acuerdo de inicio se notificó a la Gerencia Atención Primaria de Burgos con fecha 31 de julio de 2017, conforme figura en el documento de “Certificación de Entrega” emitido por la Sociedad Estatal Correos y Telégrafos, S.A. Correos, no constando que la citada Gerencia haya ejercido su derecho a la defensa presentando escrito de alegaciones al respecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 CUARTO: Con fecha 31 de agosto de 2017 se inicia período de práctica de pruebas, en cuyo marco la Instructora acuerda practicar las siguientes pruebas: 5.1. Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00996/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00035/2017 presentadas por la Gerencia Atención Primaria de Burgos de la Consejería de Sanidad de la Junta de Castilla y León. Todo ello con su correspondiente documentación adjunta. 5.2. Solicitar a la Gerencia Atención Primaria de Burgos de la Consejería de Sanidad de la Junta de Castilla y León remisión de copia del protocolo seguido para la entrega de historias clínicas. QUINTO: Con fecha 12 de septiembre de 2017 se registra de entrada en esta Agencia escrito de la reseñada Gerencia adjuntando copia del documento denominado “Protocolo de Gestión de la Historia Clínica en Atención Primaria”. HECHOS PROBADOS PRIMERO: Con fecha 23 de noviembre de 2016 Dña. D.D.D. (la denunciante) solicita a la Gerencia de Atención Primaria de Burgos copia de su Historia clínica, motivo por el cual con fecha 28 de noviembre de 2016 se solicita desde dicha Gerencia copia de dicha documentación al Centro de Salud Las Torres. SEGUNDO: Con fecha 5 de diciembre la Gerencia de Atención Primaria de Burgos notifica a la denunciante que puede pasar a recoger la copia de su Historia Clínica. TERCERO: Con fecha 13 de diciembre de 2016 la Gerencia de Atención Primaria de Burgos entrega a la denunciante la siguiente documentación: - Copia de la Historia Clínica de la denunciante, que fue la solicitada por ésta. - Un informe de seguimiento de fecha 7 de octubre de 2016 correspondiente a Dña. María A.A.A., asociado al “Programa de Detección Precoz del Cáncer de Mama.” . - Dos informes de fecha 10 de noviembre de 2016 correspondientes a Dña. B.B.B. y a Dña. C.C.C., asociados al “Programa de Detección Precoz del Cáncer de Mama”. En los citados informes figura registrada la siguiente información de los pacientes: nº de C.I.P., nº caso, nombre y apellidos, dirección, fecha nacimiento, nº Documento Nacional de Identidad, nº Seguridad Social, nº teléfono fijo y móvil y zona de salud. Junto a dichos datos identificativos de los pacientes aparece información referente al resultado de las mamografías y, en su caso, pruebas complementarias realizadas. Todos los informes están dirigidos al mismo facultativo del Centro de salud “Las Torres”. CUARTO: La denunciante ha aportado, junto a su denuncia, copia de los tres informes reseñados en el hecho probado tercero anterior, que recibió de la Gerencia de Atención Primaria de Burgos junto con la historia clínica solicitada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 QUINTO: La Gerencia de Atención Primaria de Burgos ha aportado copia del Protocolo vigente de “Gestión de la Historia Clínica en Atención Primaria”, de mayo de 2011, que recoge los procedimientos establecidos para acceder a la Historia Clínica. SEXTO: En el Registro General de Protección de Datos de la AEPD la Gerencia de Atención Primaria de Burgos, de la Consejería de Sanidad de la Junta de Castilla y León, figura como responsable del fichero “Historias Clínicas”, en el que consta como finalidad declarada: “Disponer de los datos de la Historia Clínica del paciente para el seguimiento del mismo. Gestión de la actividad asistencial. Estudios de morbilidad, gestión financiera, Actividad docente, producción de estadísticas e Investigación Sanitaria. “ (folios 21 al 25) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” Dicho precepto, por tanto, prevé la posibilidad de que el acuerdo de iniciación puede ser considerado propuesta de resolución De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al posible sancionado en la notificación del acuerdo de inicio del procedimiento. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el sancionado no presente alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 III La LOPD, que traspuso al ordenamiento interno el contenido de la Directiva 95/46, dispone en su artículo 1 que “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 7 de la LOPD, bajo la rúbrica “Datos especialmente protegidos”, establece un régimen específicamente protector para aquellos datos personales que proporcionan una información de esferas más íntimas y privadas del individuo, encontrándose entre estos datos objeto de una protección reforzada los datos de salud. En lo que nos interesa, los apartados 3 y 6 del artículo 7 de la LOPD establecen lo siguiente: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” “6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. “ Asimismo, el artículo 8 de la LOPD, respecto de los “Datos relativos a la salud”, establece que: “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 mismos de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” El artículo 3 de la LOPD define los siguientes conceptos: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.” “
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” “
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” Por su parte, el artículo 5.1.
- g)del el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, define como “Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” IV Completa el marco normativo que resulta de aplicación al supuesto analizado la Ley 41/2002, de 14 de noviembre, “básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica”, en concreto, los artículos citados a continuación. El artículo 3 define “Historia clínica” como “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial.” El artículo 5.1 de la Ley 41/2002, en cuanto al “ Titular del derecho a la información asistencial”, establece que: “1. El titular del derecho a la información es el paciente. También serán informadas las personas vinculadas a él, por razones familiares o de hecho, en la medida que el paciente lo permita de manera expresa o tácita.” El artículo 7 de dicha Ley 41/2002, en cuanto al “Derecho a la intimidad”, expresa que: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. El artículo 14.1 de la misma, con relación a la “Definición y archivo de la historia clínica”, establece que: “1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro.” El artículo 16 de la reseñada norma determina cuales son los “Usos de la historia clínica”, señalando en sus apartados 1 y 6 del mismo que: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. (…) 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.” El artículo 18.1 y 2 de dicha Ley establece como “Derechos de acceso a la historia clínica” que; “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.” El artículo 17 de la Ley 41/2002, en su apartado 6, referido a “La conservación de la documentación clínica” determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. Por último, el artículo 19 de la citada Ley 41/200 indica sobre los “Derechos relacionados con la custodia de la historia clínica” que: “El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. V El título VII de la LOPD, bajo la rúbrica de ”Infracciones y sanciones”, establece en el artículo 43.1 de dicha norma que: “1. Los responsables de los ficheros y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de responsables de los ficheros debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Con arreglo a lo cual, se considera que la Gerencia de Atención Primaria de Burgos, responsable del fichero “Historias Clínicas”, resulta responsable del tratamiento llevado a cabo con los informes clínicos objeto de divulgación a terceros, ya que ha decidido sobre la finalidad, contenido y uso de los datos de carácter personal contenidos en los mismos. VI El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". Dicho precepto de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. Por lo que el deber de confidencialidad obliga no sólo al responsable del ficero, sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula el deber de secreto del responsable del fichero y/o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 tratamiento a fin de garantizar que los datos personales objeto de tratamiento no puedan conocerse por terceros, salvo que la comunicación de datos se realice con el consentimiento de los afectados, que en este caso deberá ser expreso al afectar la divulgación de la información a datos de salud especialmente protegidos por el artículo 7.3 de la LOPD, o responda a alguno de los supuestos previstos en el artículo 11.2 de la LOPD. En el caso examinado, el deber de secreto comporta que la Gerencia de Atención Primaria de Burgos, no pueda, en su calidad de responsable de la gestión, guarda y custodia de las Historias Clínicas de Atención Primaria, revelar ni dar a conocer su contenido a terceros. Sin embargo, en este supuesto la citada Gerencia facilitó a la denunciante tres informes médicos correspondientes a otros tres pacientes sin mediar el consentimiento expreso de los mismos para ello ni producirse, tampoco, alguno de los supuestos de comunicación de datos autorizados por la Ley. Es decir, se produjo la divulgación a un tercero no autorizado de los datos identificativos y clínicos de esos tres pacientes contenidos en los mencionados informes. En consecuencia, está probado el acceso de terceros no autorizados (la denunciante) a tres informes con datos personales concernientes a la salud de esos pacientes (datos especialmente protegidos). Sentado lo cual, se destaca que el artículo 10 de la LOPD impone una obligación de resultado, por lo que, conforme al criterio de la Audiencia Nacional, entre otras en la sentencia de 18/06/09, lo relevante es que se llegue a producir la divulgación de un secreto. VII La conducta analizada se incardina en el artículo 44.3.
- d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la Gerencia de Atención Primaria de Burgos ha divulgado datos especialmente protegidos a un tercero, en este caso la denunciante, a quien entregó con fecha 14 de diciembre de 2016 tres informes del “Programa de Detección Precoz de Cáncer de Mama” con datos de salud (identificativos y clínicos) de tres pacientes, a cuyo contenido ha podido tener acceso. De hecho, la denunciante ha probado dicha divulgación aportando junto a su denuncia copia de los informes médicos de terceros que le fueron entregados por la citada Gerencia. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28/01/1981, ratificado por España en fecha 27/01/1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección, de tal forma que, como indica el citado Convenio, tales datos “no podrán tratarse automatizadamente a menos que el derecho interno prevea garantías adecuadas” En definitiva, consta acreditado que la Gerencia de Atención Primaria de Burgos ha vulnerado el deber de secreto que le resulta exigible conforme a lo dispuesto en el artículo 10 de la LOPD, motivo por el cual se considera que la ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 incurrido en la infracción del artículo 44.3.
- d)de la LOPD descrita. VIII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente supuesto, procede instar la revisión de las medidas previstas en el “Protocolo de Gestión de la Historia Clínica en Atención Primaria” en relación con el acceso a la “historia Clínica”, considerándose adecuado: -Reforzar los procedimientos instaurados para que el personal encargado de facilitar el acceso a la documentación solicitada se asegure, previamente a su entrega en la forma establecida, de que la información clínica objeto de entrega se corresponde con los datos del paciente al que se refiere la solicitud de acceso en cuestión. - Difundir a través de las instrucciones pertinentes las medidas adicionales adoptadas al respecto entre los intervinientes en dicho proceso y recordar las ya existentes. - Establecer mecanismos de revisión y mejora del mencionado protocolo en respuesta a las incidencias observadas en esta materia. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la Gerencia Atención Primaria de Burgos ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la Gerencia Atención Primaria de Burgos, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/067672017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 TERCERO: NOTIFICAR la presente resolución a la Gerencia Atención Primaria de Burgos y a la Consejería de Sanidad de la Junta de Castilla y León. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es