AAPP-00047-2015

1/19 Procedimiento Nº AP/00047/2015 RESOLUCIÓN: R/03104/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00047/2015, instruido por la Agencia Española de Protección de Datos al SERVICIO MADRILEÑO DE SALUD-HOSPITAL UNIVERSITARIO DE FUENLABRADA, vistas las denuncias presentadas y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de agosto de 2014 el Director de esta Agencia dirige una Nota Interior a la Inspección de datos en la que insta al inicio de actuaciones previas de inspección ante las noticias aparecidas en prensa referentes a una posible cesión de datos por parte del Hospital Universitario de Fuenlabrada. Con fecha de 13 de agosto de 2014 tiene entrada en esta Agencia un escrito de la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCION, FACUA, en el que denuncia: <<PRIMERO.- FACUA ha tenido conocimiento de la cesión de los datos personales y médicos de los pacientes que se encuentran en lista de espera en el citado Hospital Universitario de Fuenlabrada, de titularidad pública, al hospital Los Madroños, …, de titularidad privada. SEGUNDO.- Que el objetivo de esta cesión es derivar pacientes a un centro médico privado y aligerar así la lista de espera del centro público de manera irregular, sin consentimiento de los pacientes y con un mensaje falso (que indica que la comunicación se produce en nombre de los médicos responsables del diagnóstico), con la intención de confundir a los afectados. TERCERO.- Que el hospital privado que recibe los datos personales e informes médicos de manera fraudulenta los utiliza para obtener un beneficio económico a través del tratamiento de unos pacientes que no han solicitado sus servicios. CUARTO.- Que, para lograr este objetivo, utiliza el nombre de los médicos del hospital de Fuenlabrada para comunicarse con los pacientes e indicarles que sus médicos, responsables de diagnósticos y tratamientos, les recomiendan el uso de las instalaciones del hospital privado, algo del todo falso e irregular y que les induce así a la confusión y aceptación del uso de sus servicios.>> Otros denunciantes informan hechos similares respecto del hospital Los Madroños: <<El día 18 de Octubre de 2013 recibí en mi teléfono particular una llamada del Hospital Los Madroños de Brunete por la que me citaban para realizar una Resonancia Magnética de Columna Lumbar en dicho centro. La Resonancia me la había pedido el especialista de Traumatología ese mismo día por la mañana, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 me llamaron esa misma tarde diciendo que había quedado un hueco esa noche y que tenía que ir al Hospital de Los Madroños a las 22,30 a hacerla. Yo supuse que se trataba de un centro público como mi Hospital de Fuenlabrada. No me ofrecieron trasladarme ni me dieron más explicaciones. Me trasladé allí y volví a mi casa en mi vehículo particular. Me dí cuenta de que ya nos habían mandado a ese centro anteriormente a hacer otra prueba, creo que para mi marido. Al acabar la prueba me dijeron que el informe le llegaría a mi médico. En ningún momento, ni de forma escrita ni oral, el Hospital de Fuenlabrada se dirigió a mí para citarme dicha prueba; ni yo autoricé al Hospital de Fuenlabrada para que mis datos personales y clínicos fueran cedidos al Hospital Los Madroños. Ante las noticias aparecidas en numerosos medios de comunicación sobre la ilegalidad de esta cesión de datos, y el reconocimiento explícito del propio Gerente del Hospital de Fuenlabrada y del Consejero de Sanidad, de que se habían utilizado de forma irregular dichos datos CONSIDERO que con esta cesión de mis datos se ha conculcado el Artículo 7.3 de la Ley Orgánica 15/1999, ya que en ningún momento dí mi permiso, ni me fue pedido este permiso, para que se cediesen estos datos.>> La denunciante 4 informa: <<El día 21 y 23 de Septiembre de 2013 recibí en mi teléfono particular una llamada del Hospital VOT San Francisco de Asís de Madrid por la que me citaban para realizar una Resonancia Magnética cerebral en dicho centro, diciendo que era para quitar lista de espera del Hospital de Fuenlabrada que estaba saturado. La prueba me la había pedido el Neurólogo en el mes de Junio. Me ofrecían hacer la prueba 1 semana después de la llamada, ante lo que dije que quería hacérmela en mi Hospital y que además no tenía cita con el Neurólogo hasta el año siguiente y tenía además pendientes más pruebas. A los 2 días volvieron a llamar y repitieron la propuesta, volviéndome yo a negar a hacer la prueba allí. En ningún momento, ni de forma escrita ni oral, el Hospital de Fuenlabrada se dirigió a mí para citarme dicha prueba; ni yo autoricé al Hospital de Fuenlabrada para que mis datos personales fueran cedidos al Hospital VOT San Francisco de Asís. Ante las noticias aparecidas en numerosos medios de comunicación sobre la ilegalidad de esta cesión de datos, y el reconocimiento explícito del propio Gerente del Hospital de Fuenlabrada y del Consejero de Sanidad, de que se habían utilizado de forma irregular dichos datos. CONSIDERO que con esta cesión de mis datos se ha conculcado el Artículo 7.3 de la Ley Orgánica 15/1999, ya que en ningún momento dí mi permiso, ni me fue pedido este permiso, para que se cediesen estos datos.>> SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha 12 de septiembre de 2014 se realizó visita de inspección al HOSPITAL UNIVERSITARIO DE FUENLABRADA (en adelante, HUF). Durante la misma, los representantes del Hospital realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: Las noticias aparecidas en prensa han originado una inspección al HUF por parte de la Dirección General de Ordenación e Inspección de la Comunidad de Madrid. El personal que realizó la investigación de dicha investigación no es del HUF por lo que no pueden estar en la presente inspección, remitiendo a los inspectores de la Agencia a la mencionada Dirección General para cualquier consulta acerca de la investigación realizada. El HUF tiene estructura de Empresa Pública. Aporta la entidad copia de sus Estatutos y su modificación posterior, de la que se recaba copia. Examinado dicho documento se encuentra que se trata del Decreto 196/2002, en el que, expresa: <<… Ente Público «Hospital de Fuenlabrada», configurado como una Entidad de Derecho Público de las previstas en el artículo 2.2.

1. c)2 de la Ley 1/1984, de 19 de enero, Reguladora de la Administración Institucional de la Comunidad de Madrid,..>> Existe un Acuerdo Marco suscrito por la Consejería de Salud de la Comunidad de Madrid con distintos centros privados, para la concertación de la realización de pruebas diagnósticas. Se recaba copia de dicho Acuerdo y de su Pliego de Prescripciones Técnicas. Por otra parte, existen otros contratos de adjudicación de servicios entre el HUF y algunos centros seleccionados entre los acogidos al Convenio Marco, para la realización de determinadas pruebas específicas. Los representantes de la entidad proporcionan copia de formularios denominados PIC (Parte de Interconsulta) en blanco. En dicho formulario se recoge, entre otros, la siguiente información: datos del paciente (nombre, teléfono y edad), observaciones, prueba solicitada y un espacio para el informe del radiólogo. Un Parte de Interconsulta (en adelante PIC) es un documento en papel que recoge la solicitud de realización de una prueba diagnóstica por parte de un médico. Realizan dichas solicitudes los médicos de los Centros de Atención Primaria. En la actual situación, el HUF deriva, a los centros con los que tiene suscrito contrato, los PIC recibidos de los Centros de Atención Primaria cuando las solicitudes sobrepasan la capacidad del centro. Existen tres tipos distintos de cesiones de datos de pacientes a entidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 privadas: - Las destinadas a la realización de ecografías en centros privados, solicitadas por los Centros de Atención Primaria. Dichos centros remiten al HUF los PIC en papel, por correo interno. En el HUF se realiza el escaneado de dichos PIC, que se incorporan a la Historia Clínica del paciente (en adelante HC). El HUF remite los PIC mediante correo electrónico, en pdf cifrados, a las clínicas con las que se ha concertado el servicio de ecodiagnóstico, a través de la cuenta de correo del Coordinador de Área de Gestión de Paciente. El resultado de dichas pruebas es entregado al paciente, que lo aportará a su médico. En algunos casos el diagnóstico es remitido al HUF para su incorporación a la HC del paciente. Los centros con los que se ha realizado esta práctica son Los Madroños y La Maestranza. A partir del 28 de marzo se comenzaron a realizar las citaciones directamente por la clínica Los Madroños. La clínica La Maestranza ya realizaba llamadas de citación desde la suscripción del contrato, hará unos 4 años. - Los destinados al diagnóstico mediante Resonancia Magnética. En este caso, se proporciona a los centros concertados un software de cifrado para la creación de una VPN (o Red Privada Virtual), que fue previamente proporcionado al HUF por la Dirección General de Sistemas de Información (en adelante DGSIS). La DGSIS proporciona al centro concertado las credenciales de acceso a la red privada virtual, y el Área de Sistemas de Información del HUF proporciona al centro concertado los identificadores de usuario y contraseña que necesiten para el acceso a sus sistemas. El centro accede a los sistemas de información del HUF, visualiza las resonancias magnéticas e introduce el análisis de dichas resonancias en el sistema del HUF. - Otras pruebas, a través del sistema GECIP de la Consejería de Salud, que es un sistema de citas que permite seleccionar la realización de pruebas diagnósticas a los centros acogidos al Convenio Marco. El procedimiento para obtener acceso a los sistemas de información del HUF es el siguiente: El centro interesado ha de solicitar la autorización proporcionando los datos técnicos para el acceso. de acceso, Dicha solicitud ha de ser validada por el HUF, que posteriormente la remite al DGSIS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 La DGSIS proporciona al centro solicitante las credenciales de acceso a la red. El HUF proporciona al solicitante los identificadores de usuario y contraseña para el acceso a sus sistemas, a través de correo electrónico. Se proporciona una contraseña de un solo uso, para obligar al usuario a cambiarla en su primer acceso. Se aporta copia del Formulario de Petición de Acceso Remoto a la Red Sanitaria, formulario de solicitud de acceso a través del túnel estático IPSec a la red CSCM, y dos correos electrónicos de solicitud de usuario y clave para el acceso a los sistemas del HUF. Los inspectores de la Agencia solicitan al representante del HUF que les permita el acceso a sus sistemas de información en donde se realizan las siguientes consultas: - Se realiza una consulta al correo electrónico del Coordinador del Área de Gestión de Pacientes, en donde se verifica que existen múltiples correos electrónicos emitidos a las clínicas Los Madroños y La Maestranza. En dichos correos electrónicos se anexa un documento PDF. Se accede al correo electrónico de fecha 31/7/2014, con destino a dos direcciones, aparentemente de la misma persona en distintas cuentas, E.E.E. y D.D.D., conteniendo un fichero PDF denominado fichero_30-07-2014_[1].pdf. Se accede a dicho fichero, verificándose que se encuentra cifrado con una contraseña. Tras introducir la contraseña por parte del usuario, se verifica que dicho fichero contiene las imágenes de 50 PICs de solicitud de radiología. Entre los datos del paciente figuran su nombre completo, dirección, teléfono, edad, campo de observaciones con datos de salud relacionados con la prueba solicitada, además de las pruebas solicitadas. - Se realiza un intento de creación de un correo electrónico destinado a D. E.E.E., verificándose que aparecen dos cuentas asociadas a dicha persona denominadas E.E.E. y C.C.C., en los dominios lmh.es y salud.madrid.org respectivamente. Informan los representantes de la entidad que dicha persona es la autorizada por la Clínica Los Madroños para la recepción de los PIC. El motivo del uso de dos cuentas de correo es para asegurar que los correos electrónicos lleguen sin problema a su destinatario. - Se accede a un correo electrónico enviado en fecha 25/2/2014 destinado a C.C.C. con asunto “ECOGRAFÍAS” en el que se adjunta un fichero en formato PDF denominado **********.PDF. Se accede a dicho fichero, observando que no solicita contraseña de acceso. Examinado el PDF, se verifica que contiene 22 páginas, la primera página resulta ser un listado en el que se incluyen los nombres de los pacientes, el tipo de ecografía a realizar, y la hora de la cita. En las siguientes páginas, aparecen los PIC de dichos pacientes. Informan los representantes de la entidad, de que dicho correo electrónico se corresponde al período en el que era el HUF quien realizaba las llamadas para concertar las citas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 - Se accede a un correo electrónico enviado en fecha 22/10/2013 destinado a D. K.K.K. Centro Medico Maestranza con asunto “Ecos pendientes” en el que se adjunta un fichero en formato PDF denominado Ecopendiente.PDF. Se accede a dicho fichero, observando que solicita contraseña de acceso. Examinado el PDF, se verifica que contiene 15 páginas, con las imágenes de PIC. - Se realiza un acceso al sistema GECIP, sistema al que se accede a través de la intranet de la Consejería de Sanidad. Se verifica que el sistema solicita identificación de usuario y contraseña. Se realiza un simulacro de acceso a los datos de un paciente, coincidente con el usuario que ha sido utilizado para el acceso. Se realiza una solicitud de una prueba diagnóstica, seleccionando como petición GCIP, verificándose que aparece una pantalla de selección de los distintos hospitales públicos y privados en los que es posible realizar la prueba diagnóstica solicitada. Los representantes de la entidad manifiestan que dichos hospitales son los que han suscrito el Convenio Marco con la Consejería de Salud. En este caso se ofrece al paciente la posibilidad de elegir el centro médico, fecha y hora en el que realizar la prueba diagnóstica. Solicitada información a la Policía Local de Fuenlabrada acerca de los hechos objeto de investigación, informa: <<1º) La Policía Local de Fuenlabrada no recibió ninguna denuncia oficial al respecto, sino queja verbal de algunos/as ciudadanos/as, que fue realizada el 20 de marzo de 2014 a través del teléfono 092. Después de ellas, la unidad de Policía Judicial de la Policía Local se puso en contacto telefónico con los afectados, al que identificó y trató de averiguar más sobre los hechos, aunque con resultado negativo. 2º) De las diligencias practicadas por la Policía Local se dio traslado a la Comisaría Local del Cuerpo Nacional de Policía, en fecha 21 de marzo de 2014. 3º) Así mismo, esta jefatura remitió escrito a la Consejería de Sanidad de la Comunidad de Madrid, dando cuenta de la información que se había recabado, también en fecha 21 de marzo de 2014. 4º) En fecha 12 de junio de 2014, esta jefatura recibió contestación a su escrito por parte de la referida Consejería de Sanidad de la Comunidad de Madrid.>> Se aporta copia del escrito fechado el 21 de marzo de 2014 y remitido a la Consejería de Sanidad. También aporta copia del escrito fechado el 12 de junio de 2013, en el que la Consejería de Sanidad manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 <<Se ha recibido en esta Consejería su escrito en el que comunica la posible cesión de datos personales de pacientes a una empresa privada que ofrecía servicios de rehabilitación, cuestión que al parecer se ha puesto en conocimiento de Vds. por parte de algunos vecinos de Fuenlabrada. En primer lugar deseamos agradecerle que haya puesto en conocimiento de esta Consejería de Sanidad esta información y le rogamos que en el futuro si se detecta cualquier cuestión que afecte a los centros sanitarios nos sigan informando ya que, como no puede ser de otra forma, defendemos la protección de los datos de los pacientes, con todos los medios legales a nuestro alcance. Por lo que respecta al caso concreto que nos transmiten lo hemos trasladado a nuestra Dirección General de Ordenación e Inspección, si bien debemos señalar que la competencia corresponde a la Agencia Española de Protección de Datos, sin perjuicio de las obligaciones de custodia que correspondan al responsable del fichero que, presumiblemente, sería el propio centro sanitario o el Servicio Madrileño de Salud. >> En fecha 24 de febrero de 2015 se realizó visita de inspección al hospital Los Madroños. Durante la misma, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: La Consejería de Sanitad de la CCAA de Madrid publicó un acuerdo marco de gestión de servicios públicos denominado “ACUERDO MARCO PARA LA CONTRATACIÓN DE PROCEDIMIENTOS DIAGNOSTICOS EN EL ÁMBITO DE LA COMUNIDAD DE MADRID, DE REFERENCIA A.M. PROCEDIMIENTOS DIAGNOSTICOS 2010” A dicha convocatoria concurrió la entidad SALUD TECNOLOGICA SIGLO XXI S.L., entidad encargada de gestionar los contratos con la Administración Pública. SILVIA BEATRIZ S.L. es una entidad que presta los medios técnicos a SALUD TECNOLOGICA SIGLO XXI S.L. comercialmente conocidas ambas como Hospital Los Madroños. Los Madroños concurrió a dicho acuerdo marco, lo que le habilitaba para poder realizar servicios para los distintos hospitales públicos de la Comunidad de Madrid. Se recaba copia del DOCUMENTO DE ADJUDICACIÓN DE CONTRATO DEL ACUERDO MARCO citado, firmado por el HUF y Los Madroños. El procedimiento de ejecución del servicio se estableció de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid - La remisión desde Los Madroños al HUF de una agenda con la disponibilidad de fechas y horas para la realización de pruebas diagnósticas. - El HUF, en unos casos, enviaba a los pacientes ya citados para que se realizasen las pruebas, y en otros, www.agpd.es sedeagpd.gob.es 8/19 encomendaba a Los Madroños la realización de las llamadas para concertar la cita y dar instrucciones sobre los preparativos previos a la realización de la prueba. - Para citar a los pacientes, el HUF enviaba un fichero con los Partes de Interconsulta (PIC) en formato PDF protegido con contraseña. - Los Madroños citaba a los pacientes y, una vez realizada la prueba diagnóstica, remitían al HUF las pruebas realizadas. - Siguiendo instrucciones del HUF, respecto de los pacientes que no aceptaban la cita propuesta por Los Madroños, no se enviaba ningún listado de los mencionados pacientes. Todas las instrucciones sobre el procedimiento a seguir por Los Madroños para la realización de las pruebas se recibían por correo electrónico desde el HUF. Los inspectores de la Agencia solicitan al representante de Los Madroños que les permita el acceso a los correos electrónicos intercambiados entre el HUF y Los Madroños, donde se realizan las siguientes comprobaciones: La persona responsable de gestionar los correos electrónicos citados es D. E.E.E.. Se accede a su cuenta de correo electrónico y se realiza una búsqueda de los correos electrónicos donde se establecen las condiciones de prestación del servicio. Se selecciona al azar un correo electrónico que contiene una agenda enviada desde Los Madroños al HUF, fechado el 27/5/2014. En el correo se fija la disponibilidad horaria de Los Madroños para la realización de las pruebas. Igualmente se informa del horario de autobuses informando que éstos devolverán a los pacientes al punto de recogida en el HUF. Se selecciona al azar un correo electrónico de los recibidos por Los Madroños desde el HUF, de fecha 18/7/2014. Se verifica que contiene dos archivos en formato PDF con la relación de ecografía para citar. Se accede a uno de dichos ficheros y se comprueba que solicita una contraseña, introducida la cual, se verifica que el fichero contiene 52 partes de interconsulta, obteniéndose impresión de los dos primeros. Se aprecia que en el campo de observaciones aparece una breve descripción de la dolencia. TERCERO: De todo lo anterior se desprende que, ante la denuncia de una posible cesión inconsentida de los datos personales de los pacientes del HOSPITAL UNIVERSITARIO DE FUENLABRADA a centros médicos privados, se han llevado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 cabo actuaciones previas de investigación en las que se ha constatado que el Servicio Madrileño de Salud dispone de un “Acuerdo marco para la concertación de la realización de pruebas diagnósticas en el ámbito de la comunidad de Madrid” y derivado de este Acuerdo, el Hospital Universitario de Fuenlabrada suscribió contratos con varios centros médicos privados para la realización de diversas pruebas diagnósticas a los usuarios del Servicio Madrileño de Salud. Junto a estos contratos se suscribe otro referido al tratamiento de datos personales en el que se definen las condiciones conforme a las cuales se tratarán los datos personales a los que se tenga acceso durante el tiempo que dure el contrato. El artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que el Hospital Universitario de Fuenlabrada tiene suscritos contratos con varios centros médicos privados para la realización de pruebas diagnósticas y en ellos se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad… En el supuesto del Sistema Sanitario Público existe habilitación legal para concertar la realización de determinadas intervenciones o pruebas diagnósticas con centros sanitarios privados, artículo 90 de la Ley 14/1986, General de Sanidad. La finalidad del tratamiento de los datos de los pacientes es efectuar un diagnóstico médico, por lo que no es necesario que presten el consentimiento para dicho tratamiento de datos. Los accesos a los datos personales de los pacientes del hospital de Fuenlabrada por parte de los centros médicos privados con quienes se han suscrito contratos para la prestación de servicios, se realizan en el marco de dicha prestación, por lo que no supone una vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de los pacientes del Hospital de Fuenlabrada. Por otra parte, durante la Inspección llevada a cabo por esta Agencia en el hospital de Fuenlabrada, se accedió a varios correos electrónicos enviados a los centros concertados con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros que contenían los datos personales se encontraban cifrados por medio de contraseña. Sin embargo se comprobó que uno de los correos electrónicos enviados contenía un fichero con datos personales de los pacientes que no requería una contraseña para su acceso, lo que podría suponer un incumplimiento de las medidas de seguridad por parte del Hospital Universitario de Fuenlabrada. CUARTO: Con fecha 24 de julio de 2015, el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO MADRILEÑO DE SALUD-HOSPITAL UNIVERSITARIO DE FUENLABRADA por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
2. h)de dicha norma. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el SERVICIO MADRILEÑO DE SALUDHOSPITAL UNIVERSITARIO DE FUENLABRADA presentó escrito de alegaciones en el que, en síntesis, manifestaba: “Que respecto a la comunicación de datos por correo electrónico por parte de los centros sanitarios públicos de la Comunidad de Madrid, la Oficina de Seguridad Informática de la Dirección General de Sistemas de Información del Servicio Madrileño de Salud, con amparo en el Decálogo de Buenas Prácticas aprobado por Orden 491/2013 de 27 de junio de la Consejería de Sanidad por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica y de los sistemas de información de la Consejería de Sanidad de la Comunidad de Madrid, señala que, de acuerdo a lo establecido en el punto 7.3 de la citada Orden, está prohibido el envío de datos de salud mediante correo electrónico fuera de la red de la CSCM (Consejería de Sanidad de la Comunidad de Madrid), considerando que sólo se cifraran los datos cuando se envíen a correos electrónicos ajenos a dicha red institucional. (…) el Ente Público habilitó para las clínicas concertadas y por tanto, también para el correo electrónico que nos ocupa, cuentas de correo institucionales, esto es, dentro de la red CSCM. (…) con fecha 4 de agosto de 2015, se ha realizado de forma expresa una consulta sobre el uso del correo electrónico institucional para enviar documentación susceptible de estar protegida por la LOPD, consulta que la Oficina de Seguridad ha solventado en los términos literales que a continuación se expresan: “en cuanto los datos enviados por correo electrónico institucional no son remitidos fuera de la red sanitaria, y teniendo en cuenta que la red de la CSCM adopta las medidas de seguridad que exige el RD 1720/2007, por cuanto viajan por un canal seguro desde el origen hasta el destino, no será obligatorio el cifrado de la información de pacientes citados” Que las empresas que licitaron al Acuerdo Marco para la contratación de servicios de pruebas diagnósticas por centros privados, (…) disponían de un software de cifrado para la creación de una VPN (o Red Privada Virtual) que fue previamente proporcionado al Hospital de Fuenlabrada por la Dirección General de Sistemas de Información (DGSIS). Dicha Dirección General proporcionó a los centros concertados las credenciales de acceso a la red privada virtual y el Área de Sistemas de Información del Hospital de Fuenlabrada, proporcionó al centro concertado los identificadores de usuario y contraseña precisos para acceder a los sistemas. (…) Que a los efectos de acreditar, técnicamente, que la red CSCM cumple con los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 requisitos establecidos en el artículo 104 del Reglamento de desarrollo de la LOPD, y como prueba en el presente procedimiento de inicio de expediente, se deja interesado que se solicite informe técnico a la Dirección General de Sistemas de Información del Servicio Madrileño de Salud a propósito de las medidas técnicas y/o mecanismos de que dispone dicha red para evitar accesos no reglados o manipulaciones por terceros.” Concluye su escrito solicitando que: “se concluya que el correo electrónico enviado por el Ente Público Hospital Universitario de Fuenlabrada ha sido enviado a través de una red de carácter institucional encriptada y, por tanto, adecuada al nivel de seguridad exigido en atención a los datos enviados, con garantía de que la información no era inteligible ni manipulada por terceros, acordando en consecuencia el archivo de actuaciones.” SEXTO: Con fecha 20 de agosto de 2015 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios las denuncias interpuestas y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el SERVICIO MADRILEÑO DE SALUD-HOSPITAL UNIVERSITARIO DE FUENLABRADA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04967/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00047/2015 presentadas por el SERVICIO MADRILEÑO DE SALUDHOSPITAL UNIVERSITARIO DE FUENLABRADA, y la documentación que a ellas acompaña. 3. Requerir a la D. G. de Sistemas de Información Sanitaria de la Comunidad de Madrid, que aporte informe sobre las medidas de seguridad de las que dispone la red de la Consejería de Sanidad de la Comunidad de Madrid para el envío de información que contenga datos de carácter personal especialmente protegidos a través del correo electrónico institucional, a los efectos de acreditar que esa red cumple con los requisitos establecidos en el artículo 104 del Reglamento de desarrollo de la LOPD que establece: “Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros”. SÉPTIMO: En respuesta a lo solicitado en pruebas, la Dirección General de Sistemas de Información Sanitaria de la Comunidad de Madrid presentó escrito en el que, en síntesis, informaba: “Que el correo electrónico institucional (@salud.madrid.org) es un servicio de red que permite a los usuarios de la Consejería de Sanidad de la Comunidad de Madrid enviar y recibir mensajes, creado y asignado al trabajador de forma única y personal, para el uso del mismo dentro de sus funciones y entendiéndose de uso a fines fundamentalmente laborales. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 El acceso al correo corporativo y el intercambio de información a través del correo institucional se realiza desde el protocolo RPC sobre https, mediante el cliente local de correo Outlook configurado en los equipos de sobremesa corporativos o bien, a través de protocolo https para el acceso vía OWA (Outlook Web Access) desde el navegador web Internet Explorer. Por ello, la utilización del protocolo HTTPS establece de un canal seguro de comunicaciones. (…) Así también, en el ámbito de la Consejería de Sanidad de la Comunidad de Madrid, se prevé, en la propia Orden 491/2013, de 27 de junio, por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica y de los sistemas de información de la Consejería de Sanidad de la Comunidad de Madrid, la necesidad de cifrar la información, y más concretamente en su Anexo “Decálogo de Buenas Prácticas para los usuarios de los sistemas de información de la CSCM”. (…) Que con carácter general está prohibido el envío de información sensible por el correo electrónico institucional fuera de la red de la CSCM. Si bien, cuando la comunicación de los datos de salud resulta imprescindible para satisfacer la finalidad perseguida, y proporcional a la misma, de forma que, se descarte la posibilidad de facilitar esa información a través de otros medios más idóneos, se les traslada a todos los usuarios la obligación de adoptar las medidas de seguridad oportunas para salvaguardar la confidencialidad de la información proporcionada, quedando constancia de la documentación entregada, e impidiendo el acceso por personas no autorizadas…” OCTAVO: Con fecha 26 de octubre de 23015 tiene entrada en el registro de esta Agencia escrito del Juzgado de Instrucción nº 5 de Fuenlabrada en el que informa de lo acordado en el auto de fecha 29 de septiembre de 2015. En el auto notificado se expone que las diligencias previas se incoaron por denuncia formulada por haber tenido noticias de que por parte del Hospital de Fuenlabrada se habían transmitido informaciones de pacientes a distintos centros sanitarios privados que estaban llamando a pacientes para ofrecer la práctica de pruebas médicas, habiendo practicado diligencias de instrucción a fin de determinar la naturaleza y circunstancias del hecho y personas que han participado y órgano competente. Concluye el auto decidiendo que no existen elementos de la comisión de delito objeto de la denuncia, por lo que se acuerda el sobreseimiento libre de la causa. HECHOS PROBADOS PRIMERO: La Inspección de esta Agencia ha constatado que el Servicio Madrileño de Salud dispone de un “Acuerdo marco para la concertación de la realización de pruebas diagnósticas en el ámbito de la comunidad de Madrid”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 SEGUNDO: Derivado de este Acuerdo, el Hospital Universitario de Fuenlabrada suscribió contratos de adjudicación de servicios con varios centros médicos privados para la realización de diversas pruebas diagnósticas a los usuarios del Servicio Madrileño de Salud. Junto a estos contratos se suscribe otro referido al tratamiento de datos personales en el que se definen las condiciones conforme a las cuales se tratarán los datos personales a los que se tenga acceso durante el tiempo que dure el contrato, tales como las medidas de seguridad, la integridad de la información, la confidencialidad, etc. TERCERO: Con fecha 12 de septiembre de 2014, la Inspección de Datos de esta Agencia llevó a cabo una visita a las dependencias del Hospital Universitario de Fuenlabrada. En esta inspección se accedió a varios correos electrónicos enviados a los centros concertados con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros que contenían los datos personales se encontraban cifrados por medio de contraseña. Sin embargo se comprobó que uno de los correos electrónicos enviados contenía un fichero con datos personales de los pacientes que no requería una contraseña para su acceso. CUARTO: Se ha constatado que el correo de 25 de febrero de 2014 que incluye un fichero con datos personales de los pacientes sin contraseña de acceso, está destinado a una dirección de correo electrónico que corresponde al dominio @salud.madrid.org que dispone de las medidas de seguridad apropiadas para la protección de datos de carácter personal porque utiliza los mecanismos que garantizan que la información no sea inteligible ni manipulada por terceros. QUINTO: Se llevaron a cabo visitas de inspección en los centros médicos concertados: Hospital Los Madroños, Centro médico Maestranza, Hospital de la V.O.T. de San Francisco de Asís y Centro de Diagnóstico Hospital V.O.T. En estas visitas se realizaron comprobaciones del procedimiento de derivación de pacientes por parte del Hospital Universitario de Fuenlabrada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
4. b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
5. c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
6. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
7. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
8. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
9. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
10. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
11. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81 apartado 3 determina lo siguiente: “Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal: a. Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual. b. Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. c. Aquéllos que contengan datos derivados de actos de violencia de género.” Igualmente el art. 104 del citado Real Decreto, en relación con las medidas de seguridad de nivel alto establece: “Telecomunicaciones. Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” En los hechos de este procedimiento, consta probado que el Servicio Madrileño de Salud dispone de un “Acuerdo marco para la concertación de la realización de pruebas diagnósticas en el ámbito de la comunidad de Madrid”. Consta también que el Hospital Universitario de Fuenlabrada suscribió contratos de adjudicación de servicios con varios centros médicos privados para la realización de diversas pruebas diagnósticas a los usuarios del Servicio Madrileño de Salud, derivados de dicho Acuerdo. Junto a estos contratos se suscribe otro referido al tratamiento de datos personales en el que se definen las condiciones conforme a las cuales se tratarán los datos personales a los que se tenga acceso durante el tiempo que dure el contrato, tales como las medidas de seguridad, la integridad de la información, la confidencialidad... Consta también probado que el 12 de septiembre de 2014, la Inspección de Datos de esta Agencia llevó a cabo una visita a las dependencias del Hospital Universitario de Fuenlabrada. En esta inspección se accedió a varios correos electrónicos enviados a los centros concertados con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros que contenían los datos personales se encontraban cifrados por medio de contraseña. Sin embargo se comprobó que uno de los correos electrónicos enviados contenía un fichero con datos personales de los pacientes que no requería una contraseña para su acceso. En las alegaciones presentadas a la iniciación del presente procedimiento, el Hospital imputado manifestó que “el Ente Público habilitó para las clínicas concertadas y por tanto, también para el correo electrónico que nos ocupa, cuentas de correo institucionales, esto es, dentro de la red CSCM (…) Que las empresas que licitaron al Acuerdo Marco para la contratación de servicios de pruebas diagnósticas por centros privados, (…) disponían de un software de cifrado para la creación de una VPN (o Red Privada Virtual) que fue previamente proporcionado al Hospital de Fuenlabrada por la Dirección General de Sistemas de Información (DGSIS). Dicha Dirección General proporcionó a los centros concertados las credenciales de acceso a la red privada virtual y el Área de Sistemas de Información del Hospital de Fuenlabrada, proporcionó al centro concertado los identificadores de usuario y contraseña precisos para acceder a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 sistemas.” En su escrito expusieron que, en pruebas, se solicitase a la Dirección General de Sistemas de Información del Servicio Madrileño de salud información sobre las medidas de que dispone dicha red para evitar accesos de terceros. En el periodo de práctica de pruebas se requirió a la Dirección General de Sistemas de Información Sanitaria de la Comunidad de Madrid, que aporte información sobre las medidas de seguridad de las que dispone la red de la Consejería de Sanidad de la Comunidad de Madrid para el envío de información que contenga datos de carácter personal especialmente protegidos a través del correo electrónico institucional. En respuesta a esta solicitud, el Director General de Sistemas de Información Sanitaria de la Comunidad de Madrid informó de “Que el correo electrónico institucional (@salud.madrid.org) es un servicio de red que permite a los usuarios de la Consejería de Sanidad de la Comunidad de Madrid enviar y recibir mensajes, creado y asignado al trabajador de forma única y personal, para el uso del mismo dentro de sus funciones y entendiéndose de uso a fines fundamentalmente laborales. (…) El acceso al correo corporativo y el intercambio de información a través del correo institucional se realiza desde el protocolo RPC sobre https, mediante el cliente local de correo Outlook configurado en los equipos de sobremesa corporativos o bien, a través de protocolo https para el acceso vía OWA (Outlook Web Access) desde el navegador web Internet Explorer. Por ello, la utilización del protocolo HTTPS establece un canal seguro de comunicaciones.” Durante la Inspección llevada a cabo por esta Agencia en el hospital de Fuenlabrada el 12 de septiembre de 2014, se accedió a varios correos electrónicos enviados a los centros concertados con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros que contenían los datos personales se encontraban cifrados por medio de contraseña. Sin embargo se comprobó que uno de los correos electrónicos enviados en fecha 25 de febrero de 2014, contenía un fichero con datos personales de los pacientes que no requería una contraseña para su acceso. En las alegaciones al acuerdo de inicio del presente procedimiento el Servicio Madrileño de Salud ha manifestado que la Dirección General de Sistemas de Información proporcionó a los centros concertados, credenciales de acceso a la red privada virtual y el Área de Sistemas de Información del Hospital de Fuenlabrada, proporcionó al centro concertado los identificadores de usuario y contraseña precisos para acceder a los sistemas. En periodo de pruebas el Director General de Sistemas de Información Sanitaria de la Comunidad de Madrid ha informado de que el correo electrónico institucional (@salud.madrid.org) es un servicio de red que permite a los usuarios de la Consejería de Sanidad de la Comunidad de Madrid enviar y recibir mensajes, que se asigna al trabajador de forma única y personal y que constituye un canal seguro de comunicaciones. En la inspección llevada a cabo en el Hospital Universitario de Fuenlabrada se comprobó que aparecían dos cuentas de correo electrónico de dos dominios diferentes, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 asociadas a la misma persona. Los representantes del hospital informaron de que era la persona autorizada por uno de los hospitales concertados para la realización de las pruebas diagnósticas. Examinada la documentación recabada en la inspección se comprueba que, el correo de 25 de febrero de 2014 que incluye un fichero con datos personales de los pacientes sin contraseña de acceso, está destinado a la dirección de correo electrónico que corresponde al dominio @salud.madrid.org que dispone de las medidas de seguridad apropiadas para la protección de datos de carácter personal con la finalidad de mantener la integridad de la información corporativa y evitar el acceso no autorizado a dicha información. De la información facilitada en el presente procedimiento se concluye que el correo electrónico utilizado por el Servicio Madrileño de Salud para su uso institucional, constituye un canal seguro de intercambio de información porque se utilizan los mecanismos que garantizan que la información no sea inteligible ni manipulada por terceros. Por tanto se concluye que no se aprecian indicios de vulneración de la normativa vigente en materia de protección de datos, por lo que se procede al archivo de las presentes actuaciones. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las actuaciones seguidas al Servicio Madrileño de Salud, Hospital Universitario de Fuenlabrada por infracción del artículo 9.1 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución y el Anexo 1 al Servicio Madrileño de Salud, Hospital Universitario de Fuenlabrada y a cada uno de los denunciantes y exclusivamente el anexo que les corresponda en el que se incluye su identificación. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es