1/14 Procedimiento Nº AP/00045/2017 RESOLUCIÓN: R/00066/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00045/2017, instruido por la Agencia Española de Protección de Datos al SERVICIO ANDALUZ DE SALUD, CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA, vista la denuncia presentada por Dña. Dña. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 2 de febrero y 3 de marzo de 2017 se registra de entrada en esta Agencia escrito de Dña. A.A.A., (en lo sucesivo la denunciante), ampliada mediante escrito presentado el 3 de marzo de 2017, poniendo de manifiesto que tras solicitar el 2 de noviembre de 2016 el historial médico de su esposo fallecido, el Hospital ***HOSP.1, gestionado por el Servicio Andaluz de Salud, le entregó sobre finales de enero de 2017 un informe médico de una tercera persona junto con la documentación solicitada le entregó . La denunciante adjunta copia de la siguiente documentación: - “Informe Clínico de Consulta” del paciente B.B.B., de fecha 7 de septiembre de 2015, firmado por un facultativo del Hospital ***HOSP.1. En el citado documento, junto con los datos identificativos del paciente, domicilio, fecha de nacimiento y edad del mismo, también aparece información relativa a sus antecedentes médicos, evolución y curso clínico de los mismos, juicio clínico y plan de actuación - Copia de la reclamación presentada con fecha 22 de febrero de 2017 ante la Delegación Provincial del Servicio Andaluz de Salud contra el referido Hospital en relación con los hechos denunciados. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al Servicio Andaluz de Salud de la Junta de Andalucía, teniendo conocimiento de que: 1. Con fecha 27 de junio de 2017, tiene entrada en esta Agencia un escrito del Servicio Andaluz de Salud (Consejería de Salud), Área Gestión Sanitaria Sur de Granada, indicando que: a. El Hospital ***HOSP.2, se encuentra integrado en el Área de Gestión Sur de Granada del Servicio Andaluz de Salud. b. El protocolo seguido en el Hospital para dar contestación al ejercicio de derechos ARCO es el establecido por el seguido por el Servicio Andaluz de Salud, que se adjunta al escrito. c. Con relación a los hechos comunicados por la denunciante, se ha procedido a realizar las investigaciones oportunas, no habiendo podido determinarse de forma cierta en qué punto del proceso pudo producirse el hecho causante. Está claro que fue un error humano C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 lo que produjo la inclusión del informe correspondiente a otra persona entre la documentación entregada a la denunciante. d. No obstante, y asumiendo el error cometido, se ha procedido a la revisar los circuitos de tramitación, estimando, con casi total seguridad, que el error se produjo al compartir la impresora entre varios puestos de trabajo. e. Se ha procedido a cambiar los circuitos de acceso a documentación clínica, asignado un profesional en exclusiva para dicha tarea y se ha procedido a identificar a los profesionales en las impresiones compartidas, de forma que cada profesional recoge en bandejas diferentes la documentación solicitada. f. Además, se ha habilitado un despacho individual con todo lo necesario para preparar la documentación y que solo es utilizado por el profesional designado para la tramitación de los derechos ARCO. TERCERO: Con fecha 27 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio Andaluz de Salud de la Junta de Andalucía, en adelante SAS, por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.
- d)de la citada Ley Orgánica. En el punto 3 de dicho acto se acordó “Incorporar al procedimiento de declaración de administraciones públicas, a efectos probatorios la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente.” . Entre los documentos obtenidos durante las actuaciones previas de inspección E01661/2017, se encontraba el escrito de contestación efectuado por el Servicio Andaluz de Salud (Consejería de Salud), Área Gestión Sanitaria Sur de Granada, al requerimiento de información formulado por esta Agencia, el cual se registró de entrada con fecha 27 de junio de 2017 en esta Agencia. CUARTO: Notificado el acuerdo de inicio del citado procedimiento, con fecha 20 de noviembre de 2017 se registra de entrada escrito formulado por la letrada de Administración Sanitaria, en representación del SAS, en el que se reiteran los extremos señalados en la contestación efectuada al requerimiento de información realizado al Servicio Andaluz de Salud durante las actuaciones previas de inspección E01661/2017, y se concluye que: “En aplicación del artículo 45.5, estimamos que cabe apreciar una CUALIFICADA DISMINUCIÓN DE LA CULPABILIDAD DEL SAS Y DE LA ANTIJURIDICIDAD DEL HECHO, a la vista de la concurrencia significativa de casi todos los criterios enunciados en el apartado 4 del artículo 45, a lo que hay que añadir que SE HA REGULARIZADO LA SITUACIÓN IRREGULAR DE FORMQA DILIGENTE, y se HA RECONOCIDO LA CULPABILIDAD TAN PRONTO COMO SE HA TENIDO CONOCIMIENTO DE LA INFRACCIÓN, todo ello al amparo del artículo 45.6 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 LOPD, al encontrarnos ante una infracción grave (artículo 44.3.d), por vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal a que se refiere el artículo 10 de la LOPD, sin que este hospital haya sido sancionado con anterioridad, nos lleva a solicitar que no se practique apertura de procedimiento sancionador alguno, sino en todo caso se proceda al APERCIBIMENTO en orden a evitar a través de las medidas correctoras pertinentes la reiteración del fallo humano causante de esta situación.” Al respecto, se observa que la AEPD se ha pronunciado en el mismo sentido de lo alegado en la resolución R700394/2015, de la que se indica que analizó un error puntual relacionado con un error al imprimir, y también en la resolución R/03116/2016, de la que se señala que se determinó que por error se facilitó información de un paciente a otro distinto y que se archivaron las actuaciones practicadas. A efectos probatorios, y con la finalidad de adverar lo expuesto, se propone el informe de la Directora de Gestión Económica y Desarrollo Profesional del Área de Gestión Sanitaria Sur de Granada (en adelante AGS) del SAS que acompaña al escrito de alegaciones. En dicho informe se deja constancia de la implantación en el Hospital de procedimientos para el ejercicio de los derechos ARCO, del elevado volumen de tratamientos de datos que se soportan en el AGS, de que ésta no ha sido sancionada con anterioridad por infracciones de esta naturaleza y de la impartición anual de cursos de formación entre los profesionales relativos a los derechos ARCO, cuya práctica es aceptada. QUINTO: Con fecha 15 de enero de 2018 se incorpora al procedimiento impresión de las siguientes resoluciones de archivo en relación con sendas denuncias por infracción del artículo 10 de la LOPD: - Resolución nº R/00394/2015, dictada por el Director de la AEPD con fecha 24 de febrero de 2015 en el Procedimiento de Apercibimiento nº A/00005/2015, - Resolución nº R/03116/2016, dictada por la Directora de la AEPD con fecha 19 de enero de 2017 en el Procedimiento de Apercibimiento nº A/0412/2016. HECHOS PROBADOS PRIMERO: Con fecha 30 de enero de 2017 Dña. A.A.A., (en lo sucesivo la denunciante), formulo denuncia ante esta AEPD contra el SAS, que posteriormente amplió con fecha 3 de marzo de 2017, por haber recibido un informe médico de una tercera persona incluido entre el historial clínico de su marido, solicitado tras fallecer éste en el Hospital ***HOSP.1 . SEGUNDO: Con fecha 22 de febrero de 2017 la denunciante presento ante la Delegación Provincial del SAS una reclamación por haber recibido, junto con el historial clínico de su marido, Don C.C.C., en adelante XX.1, un “Informe clínico de Consulta” de otro paciente, en concreto de Don B.B.B., en lo sucesivo XX.2. TERCERO: La denunciante ha aportado copia de un “Informe Clínico de Consulta”, de fecha 7 de septiembre de 2015, correspondiente al paciente Don XX.2, firmado por un facultativo del Hospital ***HOSP.1. En el citado informe, junto con los datos identificativos del paciente, domicilio, fecha de nacimiento, sexo y edad del mismo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 también aparece información sobre Datos relativos a la consulta, antecedentes médicos del paciente, evolución y curso clínico de los mismos, juicio clínico y plan de actuación CUARTO: El Hospital ***HOSP.1 se encuentra integrado en el Área de Gestión Sur de Granada del Servicio Andaluz de Salud, (en adelante AGS Sur de Granada del SAS.) QUINTO: Mediante escrito de fecha 16 de junio de 2017, el Gerente del ÁGS Sur de Granada del SAS, manifestó que como consecuencia de la reclamación presentada por la denunciante “por la documentación entregada y en la que se encontraba de forma incorrecta un informe del paciente D. B.B.B., hemos procedido a investigar las actuaciones llevadas a cabo para poder determinar el hecho causante de dicha confusión.”. En ese mismo escrito se asumía la responsabilidad del SAS y se indicaba que se habían puesto en marcha los cambios organizativos necesarios para minimizar al máximo de lo posible errores como el analizado. SEXTO: Consta aportado al procedimiento certificado emitido el 13 de noviembre de 2017 por la Directora de Gestión Económica y Desarrollo Profesional del AGS Sur de Granada del SAS, en el que dicha Directora hace constar que: “En relación al procedimiento de declaración de infracción de Administraciones Públicas, procedimiento Nº: AP/00045/2017, queremos hacer constar los siguientes puntos: En primer lugar decir que en AGS Sur de Granada está implantado y se sigue el procedimiento ARCO de acceso a la historia clínica del Servicio Andaluz de Salud, publicado el de Noviembre de 2014. Antes de esta publicación se seguía procedimientos y protocolos ARCO que seguían las recomendaciones de la Agencia Española de Protección de Datos. En el AGS Sur de Granada, gestionamos un gran volumen de solicitudes de ARCO, unas 180 a 200 mensuales, unas 2.100 o 2.500 anuales. Y nunca hemos tenido ninguna queja, exceptuando algunos retrasos en el tiempo de acceso. El AGS Sur de Granada, nunca ha sido sancionada ni apercibida por infracciones derivadas de la gestión de derechos ARCO. En el caso que origina este procedimiento, como ya informamos, se analizó de forma exhaustiva, los procedimientos y circuitos, detectando que el caso que nos ocupa pudiera deberse a el hecho de compartir impresoras, por lo que se pusieron de inmediato las medidas necesarias, procediendo a cambiarlos circuitos de acceso a la documentación clínica, asignando a un profesional en exclusiva para dicha tarea, habilitando un espacio individual para esta tarea e insistiendo en revisar toda la documentación antes de ser entregada. Por último queremos resaltar que en el AGS Sur de Granada está establecida la formación anual de todos los profesionales en lo referente a os derechos ARCO.” SÉPTIMO: Entre los procedimientos establecidos por el SAS “para la atención ciudadana” se encuentra el denominado “ARCO: procedimiento de acceso a la historia clínica”, de fecha 28 de noviembre de 2014 y actualizado con fecha 3 de mayo de 2017. En dicho procedimiento figura, entre otra, la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 “El derecho de acceso a la historia clínica, puede ser ejercido por: • El titular de la historia clínica. • Por representación debidamente acreditada: esta representación puede otorgarse de forma voluntaria o ser ejercida en los supuestos legalmente establecidos: menores de 16 años no emancipados y personas incapacitadas judicialmente (Protocolo de Asesoría Jurídica del SAS “La entrega de datos sanitarios a terceros. Análisis de supuestos prácticos”, de 5 de noviembre de 2013) • En caso de personas fallecidas el acceso a la historia clínica se facilitará a las personas vinculadas al fallecido por razones familiares o de hecho, salvo que el mismo lo hubiese prohibido expresamente y así se acredite.” En caso de personas fallecidas, dicho procedimiento añade que: “La persona que formula la petición deberá cumplimentar el Formulario para el acceso a la historia clínica de personas fallecidas acompañando la documentación preceptiva reseñada en el mismo: fotocopia del DNI, NIE o fotocopia del pasaporte en vigor de la persona que formula la petición, fotocopia del certificado de defunción y documentación acreditativa de la existencia de vínculo familiar o de hecho, según la normativa vigente.” : FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, dispone: “Artículo 85. Terminación en los procedimientos sancionadores. 1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el SAS asumió su responsabilidad en los hechos denunciados al contestar el requerimiento de información en fase de actuaciones previas de inspección señalando que el tratamiento analizado fue fruto de un error probablemente debido al hecho de compartir impresora entre varios puestos de trabajo, procede resolver el procedimiento iniciado. III La LOPD, que traspuso al ordenamiento interno el contenido de la Directiva C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 95/46, dispone en su artículo 1 que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. Atendido que el presente procedimiento afecta a datos de salud, ha de acudirse también a lo previsto en cuanto a “Datos especialmente protegidos” en el artículo 7 de la LOPD, precepto que establece un régimen específicamente protector para aquellos datos personales que proporcionan una información de esferas más íntimas y privadas del individuo y al ejercicio de los derechos fundamentales consagrados por la Constitución. En lo que nos interesa, los apartados 3 y 6 del artículo 7 de la LOPD establecen lo siguiente: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” “6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. “ Asimismo, el artículo 8 de la LOPD, respecto de los “Datos relativos a la salud”, establece que: “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” El artículo 3 de la LOPD define los siguientes conceptos relacionados con los preceptos de la normativa de protección de datos anteriormente citados: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.” “
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” “
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” Por su parte, el artículo 5.1.
- g)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), define como “
- g)Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” IV Completa el marco normativo que resulta de aplicación a los hechos probados descritos, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en concreto, los artículos citados a continuación. El artículo 3 de dicha Ley acuña la definición ales de “Historia clínica” como “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial.” Los apartados 1 y 2 del artículo 5 de la Ley 41/2002, en cuanto al “Titular del derecho a la información asistencial”, establecen que: “1. El titular del derecho a la información es el paciente. También serán informadas las personas vinculadas a él, por razones familiares o de hecho, en la medida que el paciente lo permita de manera expresa o tácita. 2. El paciente será informado, incluso en caso de incapacidad, de modo adecuado a sus posibilidades de comprensión, cumpliendo con el deber de informar también a su representante legal.” El artículo 7 de esa misma Ley, en cuanto al “Derecho a la intimidad”, dispone que: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 de los pacientes”. El artículo 14.1 de la de la citada Ley 41/2002, con relación a la “Definición y archivo de la historia clínica”, establece que: “1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro.” El artículo 16 de la reseñada norma determina cuales son los “Usos de la historia clínica”, señalando en sus apartados 1 y 6 del mismo que: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. (…) 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.” El artículo 17 de la Ley 41/2002, en su apartado 6, referido a “La conservación de la documentación clínica” determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. El artículo 18 de la mencionada norma establece como “Derechos de acceso a la historia clínica” que: “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.” El artículo 19 de la citada Ley 41/200 indica sobre los “Derechos relacionados con la custodia de la historia clínica” que: “El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. V El título VII de la LOPD, bajo la rúbrica de ”Infracciones y sanciones”, establece en el artículo 43.1 de dicha norma que: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de responsables de los ficheros debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto incluye en el concepto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Con arreglo a lo cual, se considera que el SAS resulta responsable del tratamiento llevado a cabo por el Hospital ***HOSP.1 con los datos identificativos y de salud del paciente Don XX.2 obrantes en el “Informe Clínico de Consulta”, de fecha 7 de septiembre de 2015, al divulgar el contenido de dicho informe a un tercero cuando entregó dicho informe a la denunciante junto con otra documentación médica referida al marido fallecido de ésta. Dicha conducta supone que el SAS ha decidido sobre la finalidad, contenido y uso de los datos de carácter personal y de salud contenidos en el reseñado documento. VI Con carácter previo al estudio del fondo del asunto debe dilucidarse si en el presente caso resulta de aplicación, como alega el SAS, lo dispuesto en el artículo 45.6 de la LOPD, precepto que establece lo siguiente: “6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. (El subrayado es de la AEPD) A la vista de lo dispuesto en dicho artículo, la citada pretensión debe ser rechazada, habida cuenta que el procedimiento de apercibimiento contemplado en el artículo 45.6 de la LOPD, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado únicamente resulta de aplicación en sustitución de un procedimiento sancionador. A la vista de lo dispuesto en dicho artículo, el procedimiento de apercibimiento contemplado en el artículo 45.6 de la LOPD, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado, únicamente resulta de aplicación en sustitución de un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Sin embargo, en el caso examinado, se ha tramitado un procedimiento de declaración de Infracción de Administraciones Públicas en atención a que como resultado de las actuaciones previas de investigación practicadas, se constató que el responsable del tratamiento del que supuestamente derivaría la infracción del deber de secreto prevista en el artículo 44.3.
- d)de la LOPD era una Administración Pública, motivo por el cual debía procederse con arreglo a lo establecido en el artículo 43. 2 de la LOPD, que establece lo siguiente: “2. Cuando se trate de ficheros de titularidad pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley”. A este respecto, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas” que: dispone respecto de las “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Por su parte, el artículo 48.1 de la LOPD, bajo la rúbrica “Procedimiento sancionador”, establece que: “1. Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título. “ A su vez, los artículos 126 y 129 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), disponen: “Artículo 126. Resultado de las actuaciones previas. 1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 “Artículo 129. Disposición general. El procedimiento por el que se declare la existencia de una infracción de la Ley Orgánica 15/1999, de 13 de diciembre, cometida por las Administraciones públicas será el establecido en la sección tercera de este capítulo. “ En consecuencia, al no estar ante un procedimiento sancionador, no procede tramitar el procedimiento de apercibimiento previsto en el artículo 45.6 de la LOPD, ni, consecuentemente, tener en cuenta la concurrencia significativa de los criterios establecidos en los apartados 4 y 5 del artículo 45 de la LOPD a los efectos de no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable en la forma indicada en el apartado 6 del precitado artículo 45. Asimismo, se observa que los procedimientos de Apercibimiento números A/00005/2015 y A/00412/2016, en los que se dictaron las resoluciones números R/00394/2015 y R/03116/2016 de esta Agencia, se instruyeron a personas físicas y no a Administraciones Públicas responsables de ficheros de titularidad pública, como ocurre en el caso estudiado. VII El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". Dicho precepto de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. Por lo que el deber de confidencialidad obliga no sólo al responsable del fichero, sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula el deber de secreto del responsable del fichero y/o tratamiento a fin de garantizar que los datos personales objeto de tratamiento no puedan conocerse por terceros, salvo que la comunicación de datos se realice con el consentimiento de los afectados, que en este caso deberá ser expreso al afectar la divulgación de la información a datos de salud especialmente protegidos por el artículo 7.3 de la LOPD, o responda a alguno de los supuestos previstos en el artículo 11.2 de la LOPD. En el supuesto examinado, el deber de secreto comporta que el SAS, en su calidad de responsable de la gestión, guarda y custodia de las “Historias Clínicas” tratadas por el Área de Gestión Sanitaria Sur de Granada, en la que se integra el Hospital ***HOSP.1, no pueda revelar ni dar a conocer el contenido de las mismas a terceros, salvo que éstos dispongan del consentimiento expreso de los titulares de los datos o que, en su caso, se encuentren amparados por una norma legal a dicho acceso. Sin embargo, en este caso está probado que entre la documentación facilitada por el citado Servicio a la denunciante se encontraba un “Informe Clínico de Consulta” referido a otro paciente, quien no había otorgado su consentimiento expreso para ello, ni se producía, tampoco, alguno de los supuestos de comunicación de datos autorizados por la Ley. En consecuencia, el SAS reveló a un tercero no autorizado legalmente, (la denunciante), los datos identificativos y clínicos del paciente Don XX.2 contenidos en el mencionado informe sin que mediase el consentimiento expreso del afectado. Sentado lo cual, se destaca que el artículo 10 de la LOPD impone una obligación de resultado, por lo que, conforme al criterio de la Audiencia Nacional, entre otras en la sentencia de 18/06/09, lo relevante es que se llegue a producir la divulgación de un secreto. VIII La conducta analizada se incardina en el artículo 44.3.
- d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que el SAS ha divulgado a un tercero datos personales especialmente protegidos de uno de sus pacientes sin consentimiento expreso del mismo, lo que acaeció cuando entregó a la denunciante un documento (“Informe Clínico de Consulta”) con datos de salud (identificativos y clínicos) de un paciente que no era su marido, teniendo, por tanto acceso a datos de salud referentes a Don XX.2. De hecho, la denunciante ha probado dicha revelación de datos aportando, junto a su denuncia, copia del informe clínico de Don XX.2 recibido junto con la documentación del historial clínico de su marido, a lo que se suma que el SAS ha reconocido tanto que “se produjo la inclusión de dicho informe entre la documentación entregada a la esposa de Don C.C.C.” como su culpabilidad en la comisión de dicha infracción tan pronto como tuvo conocimiento de la posible comisión de la misma . La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28/01/1981, ratificado por España en fecha 27/01/1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección, de tal forma que, como indica el citado Convenio, tales datos “no podrán tratarse automatizadamente a menos que el derecho interno prevea garantías adecuadas”. En esta línea, el artículo 7 de la LOPD pretende que la información más sensible sea objeto de una protección reforzada. En definitiva, consta acreditado que el SAS ha vulnerado el deber de secreto que le resulta exigible conforme a lo dispuesto en el artículo 10 de la LOPD, motivo por el cual se considera que dicho Servicio, de la Consejería de Salud de la Junta de Andalucía, ha incurrido en la infracción del artículo 44.3.
- d)de la LOPD descrita. IX El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Sin embargo, en el presente supuesto, se considera que no procede instar la adopción de medidas correctoras adicionales, ya que, sin perjuicio de la falta de diligencia que supone que, previamente a su entrega, no se revisase correctamente la documentación clínica que se facilitó a la denunciante, se tiene en cuenta que el SAS ha comunicado a esta Agencia que, tan pronto como tuvo entrada la reclamación presentada por la denunciante por recibir un “Informe clínico de consulta” con datos de salud relativos a una tercera persona totalmente desconocida para ella, el AGS Sur de Granada de dicho Servicio procedió a revisar los circuitos de tramitación de acceso a la historia clínica, estableciendo los cambios y medidas de reforzamiento que se estimaron adecuadas a fin de evitar la repetición en el futuro de un situación semejante, y cuyo detalle consta en el Hecho Probado Sexto de esta resolución. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO ANDALUZ DE SALUD, CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO ANDALUZ DE SALUD y a la CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es