AAPP-00045-2015

1/11 Procedimiento Nº AP/00045/2015 RESOLUCIÓN: R/03405/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00045/2015, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM), vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/05/2014, tuvo entrada en esta Agencia Española de Protección de Datos, un escrito remitido por Don A.A.A. (en lo sucesivo el denunciante), en el que denuncia al Servicio de Salud de Castilla La Mancha (en lo sucesivo SESCAM), Hospital General Universitario de Ciudad Real, por facilitar sus datos personales a la entidad Orto Sur, S.A., (en lo sucesivo ORTO SUR), sin su consentimiento. En su escrito de denuncia, declara que el 23/04/2014 fue sometido a una intervención quirúrgica que motivó su hospitalización en el Hospital General de Ciudad Real. Asimismo, manifiesta que al día siguiente recibió la visita de una mujer que se identificó como ortopedista, que sabía el motivo de la operación, contando con documentación al respecto, y le tomó medidas para realizarle un corsé que le había sido recetado. Seguidamente, le informó que trabajaba para la ortopedia Orto Sur y le dijo el coste del corsé que debía pagar al día siguiente. Señala que se informó por otras vías sobre los precios del corsé y optaron por adquirirlo a otra empresa. Se puso en contacto con la ortopedista, solicitándole que devolviera la documentación con sus datos personales, personándose ésta en su habitación en el Hospital, para devolver la misma. Añade que planteó reclamación ante el Servicio de Atención al Paciente del SESCAM. El denunciante no aportó documentación alguna acreditativa de los hechos puestos de manifiesto. SEGUNDO: El escrito de denuncia reseñado en el Antecedente Primero no se estimó suficiente para imputar una actividad infractora a los denunciados, dado que no existía constancia de que la citada ortopedista contara con sus datos médicos y que éstos fueran aportados por el Hospital. Así, con fecha 21/07/2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos, acordando el archivo de la denuncia. Posteriormente, el denunciante interpuso recurso de reposición, reiterando lo manifestado en su escrito de denuncia y aportando a su vez un escrito por el que el SESCAM responde a la reclamación planteada por el denunciante ante dicha entidad, en el que le informa que “han adoptado ya las medidas oportunas desde la dirección para evitar que estas prácticas se repitan en el futuro”, lo que podría suponer un reconocimiento de los hechos. El denunciante aportó, además, varias informaciones publicadas en un diario digital los días 07 y 21/07/2014, que hace C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 referencia a la filtración de datos de pacientes a la ortopedia ORTO SUR. Una vez examinadas las pruebas documentales aportadas, se consideró que existían indicios suficientes sobre una posible vulneración de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter personal (en lo sucesivo LOPD), por lo que se estimó el recurso de reposición y se ordenó la apertura de actuaciones previas de investigación señaladas para el esclarecimiento de los hechos, con el número E/05146/2014. TERCERO: En fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. Se realizó visita de inspección a la entidad ORTO SUR, empresa de ámbito nacional dedicada a la fabricación y adaptación de prótesis, durante la cual sus representantes realizaron las siguientes manifestaciones: - La entidad presta sus servicios y ofrece sus productos a pacientes que pueden estar o no hospitalizados. - En caso de que un paciente esté hospitalizado, se recibe una llamada del centro hospitalario indicando el número de habitación y el tipo de prótesis que requiere el paciente. En esta llamada no se facilita ningún dato de carácter personal. - Seguidamente, personal técnico de la entidad, se traslada al hospital y ofrece los servicios de la misma al paciente, dándole un presupuesto estimado de forma verbal. - Si el paciente acepta estos servicios, se le solicita la prescripción médica con el fin de elaborar por escrito un presupuesto detallado; en él se le informa de lo exigido en el artículo 5 de la LOPD. - Una vez suministrada la prótesis al paciente se elabora una factura que contiene el código de la prescripción médica, al objeto de que el paciente pueda solicitar las ayudas a las que tenga derecho. - Toda esta documentación (copia del presupuesto, copia de la prescripción médica y factura) se almacena en formato papel en un fichero que contiene una carpeta por año y dentro de ésta, ordenada alfabéticamente, se encuentra la documentación de los pacientes. Cuando finaliza el año en curso se envía a la sede central de Madrid donde se conserva durante 5 años. - Además de este fichero en formato papel, disponen de un ordenador con una base de datos de pacientes en la cual se almacena información relativa a la prótesis suministrada y datos de facturación. Este sistema de información automatizado no contiene documentación escaneada. 2. Sobre el fichero en papel de la entidad se realizaron las siguientes comprobaciones: - Se verificó que se trata de una carpeta rotulada con el año 2014, que dispone de separadores con la documentación ordenada alfabéticamente. - Se accede al separador de la letra “A” verificando que no contiene documentación alguna relativa al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 - Se comprobó que conservan información relativa al presupuesto y la prescripción médica de todos los clientes. 3. Se solicitó acceso al sistema de información automatizado, realizando las siguientes comprobaciones: - Se comprobó que en el fichero de clientes no constan asociados al apellido “ A.A.A.”, ni al DNI del denunciante. - Se realizó una consulta de los clientes dados de alta entre las fechas 23/04/2014 y el 25/04/2014, obteniendo un listado de 14 clientes entre los que no se encuentra el denunciante. 4. En relación con el denunciante, los representantes de ORTO SUR manifestaron lo siguiente: - Dicha persona fue intervenida en el Hospital General Universitario de Ciudad Real y, debido a que necesitaba una prótesis, ORTO SUR recibió una llamada telefónica de personal del hospital indicando el número de habitación del paciente y el tipo de prótesis requerida, no facilitando ningún dato personal que permitiera identificar al paciente. - Se desplazó un técnico de ORTO SUR al Hospital y tras identificarse como tal, informó verbalmente del presupuesto. Este presupuesto fue inicialmente aceptado por el paciente, que entregó al técnico la hoja de prescripción médica con objeto de elaborar un presupuesto formal por escrito. - El mismo día, antes de que se hubiera formalizado el presupuesto por escrito y se hubieran incorporado sus datos al sistema de información, se recibió una llamada del paciente desistiendo de su aceptación. Seguidamente, se desplazó un técnico de la entidad para devolverle la hoja de prescripción médica, no conservando ninguna copia ni registro en el ordenador. CUARTO: En respuesta al requerimiento que le fue realizado por los Servicios de Inspección de la AEPD, la entidad SESCAM informó lo siguiente: “. No existe procedimiento establecido para la comunicación de datos a las ortopedias, de los pacientes que precisan prótesis, debido a que, para garantizar la libre elección de ortopedia por parte del paciente, es éste el que decide a cuál de ellas desea acudir. . Tras la reclamación presentada, la citada Gerencia (Gerencia de Atención Integrada de Ciudad Real) adoptó las siguientes medidas: - Se dieron instrucciones para garantizar el cumplimiento por el personal de los servicios de traumatología y neurocirugía, de la libre elección del paciente en el acceso a la prestación ortoprotésica. - Se trasladaron las actuaciones al Servicio Provincial de Coordinación e Inspección, por si procedía realizar información previa. - Tras la respuesta del Servicio Provincial, se reiteró la obligación de garantizar la libre elección del paciente en el acceso a la prestación ortoprotésica y el deber de cumplimiento de La Ley Orgánica de Protección de Datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 QUINTO: Con fecha 14 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO DE SALUD DE CASTILLA LA MANCHA por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. SEXTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el al SERVICIO DE SALUD DE CASTILLA LA MANCHA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: - No existe coincidencia entre los hechos denunciados y la conducta constitutiva de infracción. No se ha acreditado que el Hospital General de Ciudad Real (personal sanitario y no sanitario) comunicase datos personales a la empresa de ortopedia ORTO SUR. La Agencia se basa en la contestación dada por el Hospital mencionado al denunciante en la que indicaba que se habían tomado las medidas oportunas desde la Dirección para evitar que esas prácticas se repitiesen en lo sucesivo. Añaden que no es un reconocimiento del incumplimiento del deber de secreto sino que ponía de manifiesto que se había procedido a recordar las instrucciones dadas previamente en enero y febrero de 2014 en orden a garantizar la libre elección de pacientes que requieran prestación ortopédica. - Orto Sur ha manifestado que cuando un paciente está hospitalizado, se recibe una llamada del hospital indicando el número de habitación y el tipo de prótesis que requiere el paciente; no facilitando ningún dato personal. Rechazan esa afirmación indicando que es el paciente el que contacta con la empresa de su elección, no existiendo constancia de que se trate de personal dependiente del centro el que realiza tales llamadas. En la investigación interna efectuada por la inspección del Sescam no se acreditó. Añaden que en la llamada no se facilita el nombre y apellidos, es decir que no se facilitan datos personales. - Se vulnera la presunción de inocencia, ya que no hay constancia de llamada alguna para acreditar la culpabilidad. - Ausencia de culpabilidad en la actuación administrativa, no siendo posible la imputación de la infracción. Concluyen las alegaciones solicitando que se dicte resolución por la que se determine el archivo del procedimiento. SEPTIMO: Con fecha 26 de octubre de 2015 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección ante la entidad ORTO SUR; el documento facilitado por el Servicio de Salud de Castilla La Mancha (SESCAM); y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05146/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00045/2015 presentadas por la Gerencia de Atención Integrada de Ciudad Real del el Servicio de Salud de Castilla La Mancha, y la documentación que a ellas acompaña. OCTAVO: Con fecha 20/11/2015, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la entidad SESCAM ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma, y que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la misma norma. En la citada propuesta se estimó que no procede requerimiento alguno en orden a la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD. Notificada la citada propuesta, el plazo concedido a la entidad SESCAM para formular alegaciones transcurrió sin que en esta Agencia haya tenido entrada escrito alguno. HECHOS PROBADOS 1.- En los meses de julio y agosto de 2014, el Diario Digital Ciudadano Microes, publicó varias noticias referidas a la filtración de datos de pacientes para beneficiar a la empresa Ortosur. (Folios 64 a 67) 2.- Don A.A.A. denunció al Servicio de Salud de Castilla La Mancha, Hospital General Universitario de Ciudad Real, por facilitar sus datos personales a la entidad Orto Sur, S.A., sin su consentimiento. Don A.A.A. declaró que el 23/04/2014 fue sometido a una intervención quirúrgica que motivó su hospitalización en el Hospital General de Ciudad Real. Asimismo, y que al día siguiente recibió la visita de una mujer que se identificó como ortopedista, que sabía el motivo de la operación, contando con documentación al respecto, y le tomó medidas para realizarle un corsé que le había sido recetado. Seguidamente, le informó que trabajaba para la ortopedia Orto Sur y le dijo el coste del corsé que debía pagar al día siguiente. Don A.A.A. solicitó que Orto Sur le devolviera la documentación con sus datos personales, personándose la señora que le visitó el día anterior en su habitación en el Hospital, para devolver la misma. (Folios 1-2) 3.- Don A.A.A. formuló reclamación por los hechos denunciados en el Servicio de Atención al Usuario, en fecha 29 de abril de 2014, contestando el SESCAM, el día 28 de mayo de 2014, en el sentido siguiente: “… decirle que se han adoptado ya las medidas oportunas desde la Dirección para evitar que estas prácticas se repitan en lo sucesivo”. (Folio 11). 4. – Efectuada visita de inspección a la entidad Orto Sur, su representante manifestó lo siguiente: “En caso de que un paciente esté hospitalizado, se recibe una llamada del centro hospitalario indicando el número de habitación y el tipo de prótesis que requiere el paciente.” (Folio 15). 5. El Director Gerente de la Gerencia de Atención Integrada del SESCAM de Ciudad Real, informó, en relación con la denuncia presentada por Don A.A.A., que en el Hospital General de Ciudad Real no se comunicaban datos de pacientes que necesitaban prótesis, pero tras la reclamación del denunciante se han dado instrucciones a los servicios prescriptores (Traumatología y Neurocirugía) del procedimiento para garantizar la libre elección en el acceso a la prestación ortoprotésica y la no vulneración de la LOPD. (Folio 28). 6. con fecha 24 de septiembre de 2014, en el marco de la información reservada relativa al procedimiento de acceso a la prestación ortopédica por los pacientes del Hospital de Ciudad Real, el Servicio de Coordinación e Inspección, concluyó que no era posible identificar a aquellos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 trabajadores que hayan podido cometer alguna de las faltas tipificadas en el Estatuto Marco del personal estatutario de los Servicios de Salud. (Folio 61). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11(comunicación de datos). En este caso, ese deber de secreto comporta que el Sescam, responsable de los datos personales de los pacientes hospitalizados que precisan una prótesis, no puede revelar ni dar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 conocer su contenido a terceros (a entidades dedicadas a la fabricación de prótesis), salvo con consentimiento de los afectados o en los casos autorizados por la ley. En el presente caso se cumplen los requisitos para la imputación de una infracción del artículo 10 de la LOPD, denominada “de resultado”, que exige que los datos personales sobre los que exista un deber de secreto profesional, como aquí ocurre en relación con los datos personales del denunciante, se hayan puesto de manifiesto a un tercero, la entidad Orto Sur. III En sus alegaciones al acuerdo de inicio el Sescam indica, en primer lugar, que no se ha producido ninguna infracción, ya que no se ha acreditado que personal del Hospital General de Ciudad Real realizase una llamada a Orto Sur facilitando los datos del denunciante. Hay que señalar que el periódico digital Microes se hacía eco de las filtraciones de datos de pacientes realizadas desde el Hospital mencionado a la entidad Orto Sur, refiriendo datos de otros pacientes, además del denunciante, así como de las medidas que se estaban tomando desde el servicio de Salud para evitarlo. A ello hay que añadir que el Hospital General de Ciudad Real contestó al denunciante que se habían tomado las medidas oportunas para evitar que esas prácticas se repitan en lo sucesivo. E incluso se inició una información reservada interna que concluyó que no se había podido identificar al personal que hayan podido cometer la falta, no indican que no se haya producido, y recomendando que las medidas adoptadas se trasladen a Traumatología y Neurología. En conclusión, no se ha podido determinar qué trabajadores han facilitado los datos a la entidad Orto Sur, pero si hay indicios, reclamaciones y manifestaciones más que suficientes para no dudar qué la comunicación de datos desde el Hospital de Ciudad Real a la ortopedia se producían. Añade el Sescam que la comunicación del número de habitación del paciente y el tipo de prótesis que requiere no supone una comunicación de datos personales, ya que no identifican a la persona ni la hacen identificable. La LOPD establece, en el artículo 2.1, su ámbito de aplicación: “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Es en el artículo 3.
4. a)de la LOPD donde se define dato personal: “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
5. o)del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, define como persona identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Al telefonear desde el Hospital General de Ciudad Real a la trabajadora de Orto Sur facilitándole los datos de la habitación del paciente y el tipo de prótesis que precisaría, le trasladaban datos que hacían fácilmente identificable a la persona. La única actividad que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 requería era acudir al centro hospitalario y entrar en la habitación, como lo hacía la empleada de Orto Sur. Por tanto al facilitar los datos de número de habitación y prótesis que necesitaba el paciente estaban cediendo datos personales. Además, cabe considerar las manifestaciones efectuadas por el denunciante, según las cuales la persona perteneciente a ORTO SUR que le visitó durante su ingreso hospitalario disponía de documentación. IV Alega el SESCAM que se ha vulnerado la presunción de inocencia. Pues bien, la Agencia Española de Protección de Datos ha realizado una visita de inspección a Orto Sur, durante la cual informaron que recibían llamadas del Hospital de Ciudad Real informándoles del número de habitación y de la prótesis que necesitaban los pacientes y ellos acudían a visitarlos y a ofrecerles sus servicios. Por otro lado, el denunciante aportó la contestación del SERMAS informándole que se habían adoptado las medidas oportunas para que no ocurriese más. Los hechos denunciados venían recogiéndose en diarios con declaraciones de otras personas que habían tenido el mismo problema. En consecuencia, la Agencia ha desplegado una actuación inspectora e instructora que ha probado la veracidad de los hechos denunciados. En cuanto a la ausencia de culpabilidad, el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). El SESCAM dictó instrucciones al Servicio de Traumatología para que se garantizara la libre elección de los pacientes en la prestación ortopédica, las cuales, tras la investigación interna, se trasladaron igualmente a a otro servicio. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 La conducta de la entidad denunciada se incardina en el artículo 44.3.
6. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la entidad imputada es responsable de la divulgación de datos de pacientes que precisaban una prótesis. Dado que ha existido una vulneración en el deber de secreto por parte del Servicio de Salud de Castilla La Mancha en relación a datos de carácter personal, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito de la entidad denunciada, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VI El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El Director de la Agencia podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar a la Agencia las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, en relación con las medidas que procede adoptar por la entidad SESCAM para evitar que en el futuro se cometan infracciones por hechos similares, consta en las actuaciones que, con motivo de la reclamación planteada por el denunciante ante el Servicio de Atención al Usuario, la Gerencia de Atención Integrada del SESCAM de Ciudad Real dictó instrucciones para “garantizar el cumplimiento por el personal de los servicios de traumatología y neurocirugía, de la libre elección del paciente en el acceso a la prestación ortoprotésica” y reiteró el deber de dar cumplimiento a la LOPD. Estas instrucciones, que fueron distribuidas a través de las Jefaturas de Servicio, de la Supervisora de Hospitalización y la Supervisara de Consultas, contenían, entre otras, las siguientes indicaciones: . La entrega al paciente o a sus familiares de la petición de prestación ortopédica para que sean éstos los que contacten con la ortopedia de su elección. . Facilitar junto con la petición mencionada un listado de establecimientos de venta de material ortopédico en la provincia (remitido desde los Servicios Provinciales de la Consejería de Sanidad), diferenciando las ortopedias con venta de productos hechos a medida y que pueden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 hacer llegar al Hospital a un técnico de ortopedia a petición del paciente y aquellas otras con productos no hechos a medida; así como oficinas de farmacia con servicio de ortopedia autorizado, no a medida. . No se permite la circulación de comerciales de ortopedia por las áreas de trabajo del Servicio de Traumatología ni por las salas de espera de los pacientes, al igual que ocurre con los comerciales de productos farmacéuticos, salvo técnicos de ortopedia requeridos por los pacientes para un trabajo concreto. Además, se trasladaron las actuaciones al Servicio Provincial de Coordinación e Inspección, que acordó iniciar una información reservada. Como resultado de la misma, el citado servicio concluyó que no era posible identificar a aquellos trabajadores que hubieran podido cometer alguna de las faltas tipificadas en el Estatuto Marco del personal estatutario de los Servicios de Salud. Asimismo, recomendó que se advirtiera expresamente sobre la obligatoriedad de cumplir las instrucciones impartidas por parte de todo el personal de los servicios afectados y solicitó que le fuera comunicado cualquier incumplimiento de las mismas para la realización de las actuaciones pertinentes. Por tanto, se considera que la entidad SESCAM ha adoptado las medidas correctoras oportunas, por lo que no procede efectuar requerimiento alguno. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
7. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad SERVICIO DE SALUD DE CASTILLA LA MANCHA (SESCAM) y a D. A.A.A. A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es