1/19 Procedimiento Nº AP/00048/2015 RESOLUCIÓN: R/03134/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00048/2015, instruido por la Agencia Española de Protección de Datos al SERVICIO DE SALUD DE CASTILLA LA MANCHA-HOSPITAL VIRGEN DE LA LUZ, vista la denuncia presentada por la Asociación de Consumidores y Usuarios en Acción (FACUA), y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 16 de agosto de 2014 el director de la Agencia remite una Nota Interna a la Subdirección General de Inspección de Datos en la que manifiesta: <<Ante las noticias publicadas en prensa referentes a la posible cesión de datos de pacientes del Hospital Virgen de la Luz a la clínica privada Recoletas, se insta a la Subdirección General de Inspección de Datos a que inicie de oficio Actuaciones Previas de Investigaciones tendentes a acreditar estos hechos.>> Con fecha 16 de septiembre de 2014 tiene entrada en esta Agencia un escrito de la Asociación de Consumidores y Usuarios en Acción (FACUA) en el que declara: <<PRIMERO.- FACUA ha tenido conocimiento de la cesión de los datos personales y médicos de los pacientes que se encuentran en lista de espera en el citado Hospital Virgen de la Luz, de titularidad pública, al Hospital Recoletas Cuenca, situado en la (C/.....1) Cuenca, de titularidad privada. SEGUNDO.- Que el objetivo de esta cesión es derivar pacientes a un centro médico privado y aligerar así la lista de espera del centro público de manera irregular, sin consentimiento de los pacientes y con un mensaje falso (que indica que la comunicación se produce en nombre del hospital público), con la intención de confundir a los afectados. TERCERO.- Que el hospital privado que recibe los datos personales e informes médicos de manera fraudulenta los utiliza para obtener un beneficio económico a través del tratamiento de unos pacientes que no han solicitado sus servicios. QUINTO.- Que el artículo 7 de dicha ley, relativo a los datos especialmente protegidos, establece en su punto 3 que “los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga uno ley o el afectado consienta expresamente”. SEXTO.- Que, dado que no existe una ley de rango similar a la Ley Orgánica mencionada anteriormente y que los afectados no han expresado su consentimiento previo a la cesión de los datos, especialmente protegidos de acuerdo a la norma, el hospital arriba mencionado está incumpliendo la ley, sin que el hecho de que exista un convenio de colaboración entre el centro público y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 el privado le exima de su obligación de cumplir con lo especificado en la norma SÉPTIMO.- Que el hospital denunciado también incumple el artículo 9 de dicha ley, sobre la seguridad de los datos, que expresa que “el responsable de/fichero y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado”. OCTAVO.- Que, asimismo, incumple el artículo 10 de la Ley orgánica 15/1999, sobre el deber de secreto, que indica que “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos”. NOVENO.- Que, además, incumple el artículo 44.3.b de la Ley 15/1999 anteriormente mencionada, que recoge que es una infracción grave “tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. >> Con fecha 16 de febrero de 2015 tiene entrada en esta Agencia un escrito de la Asociación de Consumidores y Usuarios en Acción (FACUA) en el que realiza ampliación de la denuncia: <<Que tras la presentación de la mencionada DENUNCIA, esta Asociación ha podido comprobar cómo en un periódico de tirada nacional se ha filtrado un informe interno del Servicio de Salud de Castilla la Mancha SESCAM, con el título “Información reservada ordenada instruir en fecha 2 de septiembre sobre la posible vulneración de la Ley Orgánica de Protección de Datos en la transmisión de información de pacientes de neurofisiología a un centro concertado desde el Hospital Virgen de la Luz de Cuenca”. Que en el mencionado informe se recogen como hechos probados los siguientes: “3. Los listados eran de pacientes en lista de espera de pruebas de Neurofisiología donde además de los datos de filiación y la fecha en que tenían la cita para la prueba en el HVL figura un pequeño resumen clínico del médico peticionario justificando la solicitud. Estos listados se mandan en formato Excel sin encriptaciones. 4. La Clínica Recoletas reenvió íntegramente estos listados a su empresa subcontratada, Varela de Seijas, ubicada en Madrid, que empieza a telefonear a los pacientes para darle cita “.>> SEGUNDO: Tras la recepción de la Nota Interna del Director y de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha 19 de septiembre de 2014 se realizó una visita de inspección al Hospital Virgen de la Luz de Cuenca (en adelante HVL). Durante la misma los representantes del HVL realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 El HOSPITAL es un organismo público dependiente de la Gerencia del Servicio de Salud de la Comunidad de Castilla - La Mancha (SESCAM), dependiente de la Consejería de Salud de la Comunidad Autónoma de Castilla-La Mancha. El SESCAM suscribió un Convenio de vinculación con una serie de entidades sanitarias externas para la prestación de servicios sanitarios al mismo. Dicho convenio incluye un Anexo II denominado CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS, en base al cual se les concede acceso a los datos de los pacientes en calidad de encargados del tratamiento. Examinado dicho contrato se encuentra que dedica su estipulación quinta a CONFIDENCIALIDAD Y RESPONSABILIDAD, en la que se recoge que el contrato se realiza de conformidad con el art. 12 de la LOPD. Dispone igualmente el contrato de un ANEXO II titulado CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS, en el que amplia y detalla la estipulación quinta, constituyendo a RECOLETAS en encargado del tratamiento en nombre y por cuenta del SESCAM y que sus actuaciones se ceñirán a las instrucciones que reciban del mismo. Por su parte el HVL ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, (en adelante RECOLETAS), complementario del mencionado contrato suscrito por el SESCAM, para la realización de electromiografías y electroencefalogramas. El contrato contempla la realización de unas 650 pruebas en total, de las que se han ejecutado unas 300. Entiende el HVL que el encargo del tratamiento incluido en el anexo II citado en el Convenio con el SESCAM cubre igualmente la cesión de datos en este contrato. Examinado dicho contrato, se trata de un contrato menor fechado el 23 de abril de 2014, suscrito por el HVL y RECOLETAS. Dedica su cláusula cuarta a la PROTECCION DE DATOS, donde se recoge el deber de confidencialidad de RECOLETAS y que los datos no se utilizarán con fines distintos de los que figuran en el acuerdo, comprometiéndose a adoptar el nivel de protección de los datos de acuerdo a lo estipulado en el RLOPD. Se producen dos casos diferentes de derivación de pacientes a entidades externas: - Los derivados por la ejecución del contrato suscrito por el SESCAM, en cuyo caso, el propio HVL solicita a los pacientes la elección del centro en que realizar las pruebas. Solamente se remiten datos a los centros respecto de los pacientes que han aceptado la derivación. - Los derivados del contrato suscrito con RECOLETAS, en cuyo caso, entiende el HVL que parte de la ejecución del mismo supone la obligación de RECOLETAS de realizar las llamadas para concertar la fecha de ejecución de las pruebas. En este segundo caso, el HVL envía por correo electrónico los datos de los pacientes que tendrán que ser convocados por RECOLETAS para la realización de las pruebas, el cual realiza las llamadas, realiza las pruebas y remite los resultados al HVL, en formato papel, donde se escanean e integran en la Historia Clínica de los pacientes. Los inspectores de la Agencia solicitan al representante de HVL que les permita el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 acceso a los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: Se accede a la aplicación de correo electrónico de la persona que realiza el envío de los datos de los pacientes que ha de convocar RECOLETAS. Informan los representantes de la entidad que dichos envíos se realizan a la cuenta A.A.A.@gruporecoletas.com. Aplicado el filtro A.A.A., se encuentra que aparecen 16 correos electrónicos, con fechas de emisión entre el 23 de agosto de 2013 y 26de agosto de 2014. A la vista de dichos datos, informan los representantes de la entidad que, entre dichos correos, figuran tanto los enviados en ejecución del convenio suscrito por el SESCAM, como del contrato firmado con RECOLETAS. Este sería el caso del primero de los correos, de fecha 23 de agosto de 2013. Los correos son remitidos desde la cuenta del Jefe de Sección de Administración, ...@sescam.jccm.es. Varios de los correos electrónicos tienen ficheros adjuntos. Se accede al correo electrónico de fecha 4 de julio de 2014 que, según informan los representantes de HVL contiene la primera hoja de cálculo enviada a RECOLETAS para la ejecución del contrato. En dicho correo electrónico se realiza el encargo de remisión de los datos de los pacientes para iniciar el procedimiento de cita por parte de RECOLETAS. Se accede a dicha hoja de cálculo. Se observa que para la apertura de la hoja misma no solicita clave alguna. Se observa igualmente que la hoja de cálculo contiene un total de 459 filas con datos personales (nombre, apellidos, nº de teléfono, tipo de prueba a realizar, otros datos de salud). Los representantes del HVL aportan copia del correo electrónico de fecha 4 de julio de 2014 en el que se remite a ....1@gruporecoletas.com la citada hoja de cálculo. Se accede al correo electrónico de fecha 25 de julio de 2014 dirigido a A.A.A.@gruporecoletas.com en el que se remite una segunda hoja de cálculo con pacientes. Se accede a dicha hoja de cálculo y se observa que no solicita clave alguna. Se observa igualmente que la hoja de cálculo contiene un total de 420 filas con datos personales (nombre, apellidos, nº de teléfono, tipo de prueba a realizar, otros datos de salud). Se muestran a los inspectores los documentos de retorno de las pruebas encomendadas a RECOLETAS, consistente en una serie de sobres cerrados, que son posteriormente abiertos por el personal del HVL, escaneados e incluidos en la Historia Clínica del paciente. El día 25 de mayo de 2015 se realizó visita de inspección al hospital RECOLETAS de Cuenca, durante la que los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: RECOLETAS forma parte del Grupo Recoletas, que suscribió con el SESCAM un Convenio de vinculación para la prestación de servicios sanitarios al mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 RECOLETAS colaboran con el HVL para distintos procedimientos desde hace tiempo. En 2014 el HVL contactó con RECOLETAS debido a un problema de acumulación de pacientes en lista de espera de neurofisiología. Fruto de dicho contacto se firmó en abril de 2014 un contrato para la realización pruebas diagnósticas neurofisiológicas. Al no disponer de personal para realizar dichas pruebas, RECOLETAS, contrató en fecha 8 de julio de 2014 los servicios del Centro de Estudios Neurológicos Varela de Seijas S.L. (en adelante el CEN) domiciliado en Madrid. La entidad no dispone de documento alguno por el que el HVL autorizase ni conociese de la subcontratación del servicio, si bien los representantes del inspeccionado informan que dicha comunicación se realizó verbalmente al gerente del HVL. Desde el CEN se desplazaba un neurofisiólogo al hospital de RECOLETAS los días necesarios para realizar las pruebas concertadas. A primeros de julio recibieron por mail del HVL un listado en Excel de pacientes para citar con la información médica relacionada con la prueba a realizar para que el facultativo encargado valorara la cita según el tiempo de ejecución. El fichero Excel recibido fue reenviado a CEN en donde se encargaban desde Madrid de citar a los pacientes. No existen instrucciones por escrito de la forma en que se deben realizar las llamadas. Durante las llamadas se procedía a comprobar que el diagnostico informado por el HVL coincide con el conocido por el paciente, y se verificaba si la prueba a realizar era posible con el instrumental disponible. Verificada la posibilidad de realización de la pruebe, se concierta con el paciente la fecha concreta para su realización. RECOLETAS y el CEN utilizan la misma aplicación de informática, denominada OMISIGA, lo que permite crear una agenda compartida, donde CEN introduce el nombre y apellidos de las personas a las que se va a hacer una prueba, así como la fecha concertada. Posteriormente, en RECOLETAS se procede a completar el resto de los datos de los pacientes. Además, CEN informaba a RECOLETAS de las fechas de las pruebas, los pacientes a los que no habían podido localizar o que habían rechazado su derivación, y RECOLETAS las reenviaba al HVL. RECOLETAS desconocía si el HVL había informado previamente a los pacientes de que iban a ser citados en RECOLETAS. Durante los meses de julio y agosto siguieron recibiendo mails de HVL con pacientes derivados. Posteriormente, tras la aparición en prensa de las noticias de que una empresa de Madrid estaba llamando a los pacientes para concertar las citas, el HVL retomó la citación de pacientes. Los inspectores de la Agencia solicitaron al representante de RECOLETAS que les permita el acceso a sus sistemas de información, donde se realizaron las siguientes consultas: Se accede a uno de los ordenadores ubicados en la secretaría del director gerente y se realiza una consulta respecto de los correos recibidos del HVL remitiendo ficheros de NEUROFISIOLOGIA. Se comprueba la existencia de un correo electrónico de fecha 4 de julio de 2014 remitido desde la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 .....@sescam.org conteniendo adjunto un fichero en formato Excel para proceder a la cita de los pacientes. Se accede al fichero y se comprueba que contiene los datos de 659 pacientes: el nombre, apellidos, teléfono, breve historia del paciente y solicitud de la prueba a realizar. Dicha hoja de cálculo no está cifrada ni protegida por el uso de una clave. El contrato suscrito entre Recoletas y el Centro de Estudios Neurológicos Varela de Seijas es un arrendamiento de servicios profesionales, fechado el 8 de julio de 2014. En la exposición inicial se hace constar que RECOLETAS necesita atender su servicio de neurofisiología, habiendo ofertado a CEN los servicios de electromiografía. En las estipulaciones del contrato figura que RECOLETAS, en el desarrollo de su trabajo y compromisos suscritos, tiene que realizar cierto número de electromiogramas, por lo que subcontrata a CEN para la cobertura de dicho servicio. Por su parte CEN remitirá a RECOLETAS a los profesionales adecuados de su plantilla para la prestación del servicio. En la estipulación segunda se establece que la vigencia del contrato queda limitada a la duración del contrato que tiene suscrito RECOLETAS con el HVL. Se constata además, que el contrato dispone de un ANEXO I titulado CONTRATO DE CONFIDENCIALIDAD EN LA PRESTACIÓN DEL SERVICIO. En dicho anexo figura RECOLETAS como responsable del fichero, y CEN como encargado del tratamiento, firmándose el contrato en cumplimiento del art. 12 de la LOPD. En la estipulación 3ª Seguridad de los datos personales, se expone que el Prestador del Servicio declara conocer que los datos de los pacientes son de exclusiva titularidad del Responsable y no podrá trasladar dicha información fuera de las instalaciones del responsable. En el caso de que tuviera que trasladar la información contenida en el Fichero, y previa autorización por escrito del Responsable, estará obligado a adoptar las medidas de seguridad que resulten necesarias conforme a las exigidas para el nivel alto de seguridad. Se solicita el acceso a los correos enviados al CEN para realizar las citaciones. Se verifica la existencia de un correo electrónico de fecha 25 de julio de 2014 remitido desde una cuenta del grupo Recoletas a la cuenta .....@hotmail.com. Los representantes de la entidad inspeccionada informan que esta es la cuenta del médico contratado para la realización de las pruebas. Se comprueba que existe un fichero en formato Excel al que se accede sin la introducción de una clave de acceso. Se accede a la aplicación OMISIGA y en ésta a la agenda de NEUROFISIOLOGÍA, que según informan los representantes de la entidad fue la creada para la realización de las citaciones. Se comprueba que en ella figuran una serie de citas en las que aparece el nombre, apellidos, prueba realizada, fecha y hora. Se accede a otro correo de fecha 20 de agosto de 2014, remitido a la cuenta .....@hotmail.com desde una cuenta del Grupo Recoletas en el que se adjunta un listado recibido desde el SESCAM con una relación de pacientes ya citados. Informan los representantes de la entidad que en este caso, las citas habían sido realizadas por el HVL tras la polémica surgida por las llamadas realizadas desde CEN. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 Se solicita el acceso al fichero Excel en el que se controlaba los pacientes a los que se les habían hecho las pruebas. Se comprueba que dicho fichero consta de múltiples hojas tituladas: Pacientes que anulan, porque no quieren hacerse la prueba. Pacientes que anulan la prueba porque no pueden en ese momento, pero que quedan pendientes de avisar. Pacientes que anulan cita y esperan su fecha de prueba en el hospital. Pacientes que no se localizan. Pacientes que ya se han realizado la prueba en el hospital. Pacientes con pruebas que no se pueden realizar aquí. Se solicita el acceso al ordenador usado por el médico que realizaba las pruebas derivadas del HVL, comprobándose que se encuentra en una habitación cerrada con llave. Informan los representantes de la entidad que está sin uso actualmente. Se realiza una consulta en dicho ordenador respecto de los informes elaborados de los pacientes con los resultados de las pruebas. Se comprueba que es necesario solicitar el acceso al servicio de informática, debido a que se encuentran en el servidor de ficheros de la entidad. Una vez concedido el acceso al servidor, se verifica que existe un directorio en el que se recoge un fichero Word por cada paciente. Se accede a uno al azar, que se imprime y se incorpora a las actuaciones. Examinado dicho documento, se encuentra que aparece el nombre y fecha de nacimiento del paciente, las indicaciones del médico que solicita la prueba, los hallazgos médicos y el juicio clínico del especialista que ha realizado la prueba. Se solicita el acceso al sistema OMISIGA y se realizan búsquedas de distintos pacientes por nombres y apellidos, extraídos de los distintos listados que se han incorporado a la presente acta. Del análisis de las consultas realizadas se desprende que RECOLETAS ha incorporado a sus ficheros únicamente los datos de los pacientes de los que realizó algún tipo de actuación médica. Solicitado al HVL que informe acerca de si se dio a RECOLETAS la autorización para la subcontratación, manifiesta: <<… no se tenía información de la subcontratación, además la normativa específica, que aunque es posible hay que comunicar esta. No se realizó ninguna autorización verbal. >> En fecha 23 de junio de 2015 la Inspección de Datos de esta Agencia realizó visita al Centro de Estudios Neurológicos Varela de Seijas. Durante la misma, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: CEN suscribió un contrato de arrendamiento de servicios profesionales con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 RECOLETAS el día 8 de julio de 2014. Dicho contrato consistía en la realización de un total de 500 electromiogramas. Para el desempeño de estas funciones CEN remitía a RECOLETAS un médico especialista que realizaba las pruebas en el propio RECOLETAS con los medios que le proporcionaba éste, salvo la maquinaría que la instaló CEN. RECOLETAS remitía vía correo electrónico a CEN un listado con los pacientes que previamente habían aceptado realizarse la prueba. La Gerente de CEN planificaba la realización de horarios y tiempos adecuados para cada una de las pruebas a realizar a los pacientes. Para ello, llamaba a cada paciente del listado para confirmar día y hora de la prueba, en algunos casos el paciente aceptaba pero en otros la prueba había sido realizada o simplemente la rechazaba. CEN introducía en su sistema informático los datos personales de los pacientes necesarios para poder facturar la prueba realizada a RECOLETAS: el nombre y apellidos, número de teléfono, prueba a realizar. Una vez realizada la prueba se actualizaban los datos del listado recibido de RECOLETAS con los pacientes a los que se había realizado la prueba o habían rechazado la misma por diversos motivos. Este listado se remitía vía correo electrónico. En ningún caso CEN tuvo acceso a los resultados informados de las pruebas realizadas, ya que todo ello se hacía en RECOLETAS. Los inspectores de la Agencia solicitaron al representante de CEN que les permita el acceso a los sistemas de información de la entidad realizándose las siguientes comprobaciones: Se accede al correo electrónico de la entidad .....@hotmail.com y se solicita acceder al primer correo electrónico recibido de RECOLETAS, se comprueba que este correo es de fecha 9 de julio de 2014. Se acompaña un documento en formato Excel. Accediendo al documento se comprueba que hay un total de 460 registros correspondiente a cada uno de los pacientes a confirmar cita para realizar la prueba diagnóstica incluida en el listado, que contiene datos de salud. Para acceder a dicho documento Excel no ha sido necesaria clave de acceso. Se solicita acceder a un correo electrónico desde el cual CEN remite un listado con los pacientes atendidos. Se verifica que en fecha 14 de julio de 2014 se remite un correo electrónico desde la cuenta .....@hotmail.com a una cuenta de RECOLETAS, en el que se adjunta un documento Excel, que contiene datos de salud. Accediendo al documento se comprueba que hay un total de aproximadamente 460 registros correspondiente a los pacientes, se comprueba que unos pacientes han sido citados y otros no quieren hacerse la prueba o manifiestan que se la han realizado ya. Para acceder a dicho documento Excel no ha sido necesaria clave de acceso. Se solicita acceder al sistema informático de la entidad utilizado para facturar a RECOLETAS. Se verifica que no se puede acceder a los datos de los pacientes encomendados por RECOLETAS, la representante de la entidad manifiesta que los datos de dicha agenda han sido bloqueados ya que el servicio con RECOLETAS ha finalizado. Los inspectores actuantes solicitan el desbloqueo del citado fichero, a lo que la representante de CEN accede. Se verifica que para desbloquear el fichero es necesario introducir una clave de acceso. Asimismo, una vez desbloqueado se verifica que consta una agenda denominada “PRUEBAS CUENCA” del servicio de neurofisiología. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 Se accede a la citada agenda, a las citas concertadas para el día 21 de julio de 2014. Se verifica que hay un total de 26 pacientes de los que sólo consta nombre y apellidos, número de teléfono y prestación a realizar. Se accede al detalle de tres pacientes seleccionados al azar y se verifica que en el sistema informático no consta más información que la citada, la Historia Clínica aparece vacía. Se solicita acceso a la última fecha en que se hicieron pruebas, se accede a la agenda del día 27 de agosto de 2014 en la que figuran 7 pruebas, se accede al azar a una de ellas y se verifica que la Historia Clínica aparece vacía de contenido. Se solicita copia de una de las facturas emitidas por CEN a RECOLETAS y se verifica que se trata de una factura genérica, no contiene datos de pacientes. TERCERO: De todo lo anterior se desprende que, ante la denuncia de una posible cesión inconsentida de los datos personales de los pacientes del Hospital Virgen de la Luz de Cuenca a centros médicos privados, se han llevado a cabo actuaciones previas de investigación en las que se ha constatado que el Servicio de Salud de Castilla la Mancha, SESCAM, suscribió un Convenio de vinculación con una serie de entidades sanitarias externas para la prestación de servicios sanitarios al mismo. Por su parte el Hospital Virgen de la Luz de Cuenca ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, para la realización de diversas pruebas diagnósticas a los usuarios del Servicio de Salud de Castilla la Mancha. Estos contratos incluyen anexos referidos al tratamiento de datos personales en el que se definen las condiciones conforme a las cuales se tratarán los datos personales a los que se tenga acceso durante el tiempo que dure el contrato. El artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio, encargado del tratamiento, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que el Hospital Virgen de la Luz de Cuenca tiene suscrito un contrato con el centro médico privado Hospital Recoletas de Cuenca SLU para la realización de pruebas diagnósticas que recoge las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad. En el supuesto del Sistema Sanitario Público existe habilitación legal para concertar la realización de determinadas intervenciones o pruebas diagnósticas con centros sanitarios privados, en el artículo 90 de la Ley 14/1986, General de Sanidad. La finalidad del tratamiento de los datos de los pacientes es efectuar un diagnóstico médico, por lo que no es necesario que presten el consentimiento para dicho tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 Los accesos a los datos personales de los pacientes del Hospital Virgen de la Luz de Cuenca por parte del centro médico privado con quien se ha suscrito contrato para la prestación de servicios, se realizan en el marco de dicha prestación, por lo que no supone una vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de los pacientes del Hospital Virgen de la Luz de Cuenca. Por otra parte, durante la Inspección llevada a cabo por esta Agencia en el Hospital Virgen de la Luz de Cuenca, se accedió a varios correos electrónicos enviados al centro concertado con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros que contenían los datos personales no se encontraban cifrados por medio de contraseña, lo que podría suponer un incumplimiento de las medidas de seguridad por parte del Hospital Virgen de la Luz de Cuenca. CUARTO: Con fecha 24 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO DE SALUD DE CASTILLA LA MANCHAHOSPITAL VIRGEN DE LA LUZ por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.