AAPP-00051-2016

1/15 Procedimiento Nº AP/00051/2016 RESOLUCIÓN: R/00680/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00051/2016, instruido por la Agencia Española de Protección de Datos a la la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, vista la denuncia presentada por la DIRECCION GENERAL DE LA POLICIA Y DE LA GUARDIA CIVIL-PATRULLA SEPRONA JEREZ, y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 15 de marzo de 2016, tiene entrada en esta Agencia un escrito de La Dirección General de la Policía y de la Guardia Civil-patrulla SEPRONA-JEREZ, en el que denuncia que, con motivo de una inspección realizada, el día 5 de febrero de 2016, a la empresa CARTON JEREZ, S.L. en el parque empresarial Oeste de Jerez de la Frontera, Cádiz, que se dedica a la gestión de residuos, los Agentes actuantes localizan una gran cantidad de documentos justificantes de recetas médicas esparcidos por la instalación, en la que no existe vallado perimetral ni puerta de entrada, y sobre los que se manifiesta que los obtienen del Instituto Nacional de la Salud. En la inspección realizada se les requiere el contrato con dicho organismo, presentando un “contrato para la prestación del servicio de recuperación de papel”, suscrito entre el Delegado Territorial de la Consejería de Salud en Cádiz y la representante de la empresa ALREGON MEDIO AMBIENTE, S.L., de fecha 23 de febrero de 2016, fecha posterior a la realización de la inspección. De lo expuesto en este contrato se observa que entrará en vigor el 1 de marzo de 2016 y que anexo al contrato hay una página con la misma cabecera de la Junta de Andalucía, Consejería de Salud, Delegación Territorial de Igualdad, Salud y Políticas Sociales y con el título de “Relación de Centros de trabajo objeto del contrato” en la que figura “Razón social: Delegación Territorial de Igualdad, Salud y Políticas Sociales” y comprende 7 condiciones generales. En la Séptima se expone “La empresa contratada se compromete a no hacer uso, directo ni indirecto, ni a ceder, dato personal alguno de los que pudieran figurar en los documentos entregados, siendo la exclusiva finalidad de esta entrega la de la destrucción física del papel”. Se adjuntan muestras de los documentos encontrados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 18 de mayo de 2016, se recibe en esta Agencia escrito de la Consejería de Salud de la Junta de Andalucía, en el que pone de manifiesto lo siguiente: Que desconocen los hechos ocurridos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 La Consejería no tiene ninguna relación con la empresa CARTON JEREZ, S.L., ni ha autorizado cesión alguna de datos, el contrato de prestación de ese servicio lo tiene con la empresa ALREGON MEDIO AMBIENTE, S.L. Expone la Delegación que el contrato con esta empresa es el aportado por esta Agencia en la solicitud de información realizada y que se complementa con el Anexo de condiciones generales que adjuntan a su escrito. Este anexo coincide con el aportado en la inspección realizada por la Policía a Cartón Jerez, con el título de “Relación de centros de trabajo objeto del contrato”. 2. Con fecha 10 de agosto de 2016, se obtiene impresión de los datos recabados del Registro Mercantil, verificando la existencia de las dos entidades, figurando como Administrador único de la empresa Cartón Jerez, S.L., Dña. A.A.A., y como Administrador único de la empresa Alregón Medio Ambiente, S.L., Dña. B.B.B.. 3. Con fecha 29 de julio de 2016, se recibe en esta Agencia escrito de la empresa ALREGON MEDIO AMBIENTE, S.L., en el que manifiestan que: “La relación existente entre la empresa Alregón Medio Ambiente, S.L. y Cartón Jerez, S.L., es que somos socios en ambas empresas. Adjunto las escrituras en las que consta dicha información”. Se adjunta una Escritura de COMPRAVENTA DE PARTICIPACIONES Y CESE Y NOMBRAMIENTO DE CARGOS, de fecha 12 de noviembre de 2008, de la empresa Cartón Jerez, S.L. En esta escritura el único socio de la empresa Cartón Jerez, S.L., vende sus participaciones a sus hijos y se nombra nuevo administrador único a uno de ellos. TERCERO: De acuerdo con lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, procede la apertura del presente procedimiento de infracción de las Administraciones públicas. Dichos indicios consisten en la aparición de documentación con datos de carácter personal, que han estado accesible a terceros, puede suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, evitando su sustracción, pérdida o acceso indebido y, así mismo, una vulneración del deber de secreto profesional respecto a datos de carácter personal, hechos que motivan el inicio del presente procedimiento de infracción de las Administraciones públicas. CUARTO: Con fecha 24 de octubre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD por la presunta infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. h)y 44.3.
2. d)respectivamente, de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD presentó escrito solicitando copia del expediente y ampliación del plazo, que se remitió y se concedió. Con fecha 9 de diciembre de 2016 se recibió escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: Las actuaciones de los agentes son contra una empresa con la que no tienen ninguna relación y que a la empresa contratada para la destrucción de la documentación le exige la reserva y confidencialidad en el tratamiento, la disposición de medios adecuados y le prohíbe terminantemente la cesión de datos, incluso antes de la efectiva firma del contrato. Añaden que la responsabilidad de los incumplimientos imputados es del interviniente en el tratamiento, que está identificado y a quien el responsable de los datos le ha exigido desde siempre al observancia de la norma. Se solicita la ratificación de lo actuado por parte de los agentes actuantes. Exponen que no queda acreditado el acceso a los datos personales por persona no autorizada. Manifiestan también que su empresa contratista les comunica que los documentos entregados se tratan en unas instalaciones adecuadas, en local comercial situado en Jerez de la Frontera y adjuntan a su escrito el contrato de arrendamiento de las instalaciones a nombre de Alregón Medioambiente, S.L., con fotografías en las que, según manifiestan, puede apreciarse que se trata de un lugar cerrado y no accesible a terceros no autorizados. Concluye el escrito de alegaciones solicitando el archivo de las actuaciones “por no ser responsable de los incumplimientos imputados”. Del examen del contrato de arrendamiento de local de negocio que aporta la Consejería en su escrito de alegaciones se desprende que está firmado el 8 de febrero de 2016, entre un particular y la administradora de la entidad Alregón Medioambiente, S.L., para el arrendamiento del local situado en el Polígono Industrial Las Bodegas, Calle Bobadilla 7, de Jerez de la Frontera. Se aporta una fotografía en la que se observa el cerramiento del acceso de un local industrial. SEXTO: Con fecha 19 de diciembre de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la DIRECCION GENERAL DE LA POLICIA Y DE LA GUARDIA CIVIL-PATRULLA SEPRONA JEREZ y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02008/2016. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio AP/00051/2016 presentadas por la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, y la documentación que a ellas acompaña. 3. Respecto a la prueba solicitada sobre la declaración de los agentes denunciantes, se acuerda admitirla, solicitando la ratificación de los agentes. SÉPTIMO: Con fecha 19 de diciembre de 2016, se acordó por el Instructor del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 procedimiento la práctica de la siguiente prueba a la Dirección General de la Policía y de la Guardia Civil - Patrulla Seprona Jerez: En el marco del procedimiento arriba referenciado y dentro del periodo de práctica de pruebas, la Consejería de Salud de la Junta de Andalucía, como denunciado en el procedimiento, ha solicitado como medio de prueba, “la ratificación expresa de lo actuado por parte de los agentes intervinientes” del acta realizada el día 5 de febrero de 2016 en la (C/...1), Cádiz. Por ello, se solicita su colaboración para que, a la mayor brevedad posible, remitan ratificación de lo denunciado”. En respuesta a lo solicitado, la Dirección General de la Policía y de la Guardia Civil - Patrulla Seprona Jerez, remitió Oficio de fecha 30 de diciembre de 2016, en el que los agentes actuantes se afirman y ratifican en todos los términos de la denuncia interpuesta en su día. OCTAVO: Con fecha 26 de enero de 2017, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD ha infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, ambas tipificadas como graves en el artículo 44.3.
3. h)y 44.3.
4. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos citados de la mencionada Ley. NOVENO: Con fecha de puesta en el Servicio de Correos de 20 de febrero de 2017, de entrada en la Agencia el día 28 de febrero de 2017, la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD realizó alegaciones frente a la citada propuesta de resolución en la que comunica lo siguiente: - En el oficio de remisión de la Guardia Civil es donde indican que hay cajas en el exterior de la nave inspeccionada con recetas, pero no consta en el Acta levantada in situ. Tanto en el oficio como en el Acta, consta como denunciada la mercantil Cartón Jerez y se inicia el procedimiento a la Junta de Andalucía. Aunque el contrato de prestación de servicios es posterior al Acta levantada por la Guardia Civil, ya habían tenido las dos partes conversaciones y se había realizado el borrador de contrato. El artículo 9 de la LOPD tiene que ser completado con las medidas completas incumplidas. No se ha acreditado que los datos fueran accedidos por terceras personas y la Audiencia Nacional ha indicado repetidamente que esa infracción es de resultado. HECHOS PROBADOS PRIMERO: Con fecha 5 de febrero de 2016, la Guardia Civil-patrulla SEPRONA-JEREZ, realizó una inspección a la empresa CARTON JEREZ, S.L. en el parque empresarial Oeste de Jerez de la Frontera, Cádiz, que se dedica a la gestión de residuos. Los Agentes localizaron una gran cantidad de documentos justificantes de recetas médicas esparcidos por la instalación, en la que no existe vallado perimetral ni puerta de entrada, y sobre los que se manifiesta que proceden del Instituto Nacional de la Salud. La Guardia Civil adjunta muestras de los documentos encontrados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 SEGUNDO: En la inspección realizada se les requiere el contrato con dicho organismo, presentando un “contrato para la prestación del servicio de recuperación de papel”, suscrito entre el Delegado Territorial de la Consejería de Salud en Cádiz y la representante de la empresa ALREGON MEDIO AMBIENTE, S.L., de fecha 23 de febrero de 2016, fecha posterior a la realización de la inspección. En el contrato figura que entrará en vigor el 1 de marzo de 2016 y que anexo al contrato hay una página con la misma cabecera de la Junta de Andalucía, Consejería de Salud, Delegación Territorial de Igualdad, Salud y Políticas Sociales y con el título de “Relación de Centros de trabajo objeto del contrato” en la que figura “Razón social: Delegación Territorial de Igualdad, Salud y Políticas Sociales” y comprende 7 condiciones generales. En la Séptima se expone “La empresa contratada se compromete a no hacer uso, directo ni indirecto, ni a ceder, dato personal alguno de los que pudieran figurar en los documentos entregados, siendo la exclusiva finalidad de esta entrega la de la destrucción física del papel”. TERCERO: Los agentes de la Guardia Civil que realizaron la inspección el 5 de febrero de 2016, en la instalación de la entidad Cartón Jerez, S.L., y han manifestado en escrito fechado el 30 de diciembre de 2016, que se afirman y ratifican en todos los términos de la denuncia interpuesta en su día. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 14 establece, con relación a la definición y archivo de la historia clínica, que: “1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro. 2. Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audio visual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información. 3. Las Administraciones sanitarias establecerán los mecanismos que garanticen la autenticidad del contenido de la historia clínica y de los cambios operados en ella, así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 como la posibilidad de su reproducción futura. 4. Las Comunidades Autónomas aprobarán las disposiciones necesarias para que los centros sanitarios puedan adoptar las medidas técnicas y organizativas adecuadas para archivar y proteger las historias clínicas y evitar su destrucción o su pérdida accidental.” Además el artículo 17 de esta misma ley, sobre la conservación de la documentación clínica, dispone: “1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. 2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. 3. Los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes. 4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen. 6: Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” Por último el artículo 19 sobre Derechos relacionados con la custodia de la historia clínica, expone que: “El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley.” III El artículo 9 de la LOPD, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
6. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte la letra
7. c)del mismo artículo permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
8. h)de la LOPD tipifica como infracción grave el “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 aprobado por Real Decreto1720/2007, de 21 de diciembre, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Entre las medidas de seguridad de nivel básico, el Reglamento expone en su artículo 92, respecto de la gestión de soportes y documentos, que: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Por su parte, el artículo 108, sobre la custodia de los soportes, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. Además el artículo 114 del citado Reglamento, respecto del Traslado de documentación, establece que: “Siempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado”. La Consejería de Salud de la Junta de Andalucía, debió, por ello, adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información que contenían los documentos encontrados. Tales medidas no fueron adoptadas totalmente en el presente caso. Prueba de ello es el hecho de que la documentación fue encontrada por la Guardia Civil-patrulla SEPRONA-JEREZ en el parque empresarial Oeste de Jerez de la Frontera, Cádiz, donde localizaron una gran cantidad de documentos justificantes de recetas médicas esparcidos por una instalación, que no disponía de vallado perimetral ni de puerta de entrada. La Guardia Civil-patrulla SEPRONA-JEREZ realizó la inspección, el día 5 de febrero de 2016, y la empresa CARTON JEREZ, S.L. presentó un “contrato para la prestación del servicio de recuperación de papel”, suscrito entre el Delegado Territorial de la Consejería de Salud en Cádiz y la representante de la empresa ALREGON MEDIO AMBIENTE, S.L., de fecha 23 de febrero de 2016. En el contrato se establece que entrará en vigor el 1 de marzo de 2016. De los hechos constatados en el presente caso se desprende que el día 5 de febrero de 2016 la guardia civil localiza gran cantidad de documentación clínica en la instalación de la entidad Cartón Jerez SL, en el parque empresarial Oeste de Jerez de la Frontera, que pertenece a la Consejería de Salud de la Junta de Andalucía. Este organismo público no dispone de contrato en vigor para la prestación del servicio de destrucción de documentación con la entidad en la que se realiza la inspección. El contrato que se aporta el día de la inspección figura a nombre de otra entidad y dispone que entrara en vigor el día 1 de marzo de 2016. El relato de hechos de la Guardia Civil expone que, esparcidos por la parcela en la que está el almacén, se encontraron con gran cantidad de documentos justificantes de recetas médicas con datos personales del paciente, prescripciones médicas, titulares de farmacias dispensadoras. Que esos mismos documentos se encuentran en unas 200 cajas esparcidas y apiladas por la instalación. La Guardia Civil manifiesta a continuación en su acta de inspección: “Que se solicita contrato para la recuperación de documentos con la empresa perteneciente a la consejería de Salud, presentando el mismo firmado con fecha posterior a la inspección realizada por esta Unidad SEPRONA Jerez Fra. No coincidiendo la empresa contratada con la inspeccionada. (se adjunta contrato). Que la citada parcela carece de vallado perimetral así como de puertas de acceso, no existiendo control sobre los documentos localizados, igualmente la nave inspeccionada carece de techo y ventanas.” Los agentes de la Guardia Civil que realizaron la inspección el 5 de febrero de 2016, en la instalación de la entidad Cartón Jerez, S.L., han manifestado en escrito fechado el 30 de diciembre de 2016, que se afirman y ratifican en todos los términos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 la denuncia interpuesta en su día. La Consejería de Salud en su escrito de alegaciones al acuerdo de inicio del presente procedimiento expone que la responsabilidad de los incumplimientos imputados es del interviniente en el tratamiento, que está identificado y a quien el responsable de los datos le ha exigido desde siempre al observancia de la norma. Se expone también en el escrito de alegaciones al acuerdo de inicio que se encomienda la destrucción de la documentación a su contratista, exigiéndole la reserva y confidencialidad en el tratamiento, la disposición de medios adecuados y prohibiéndole la cesión de datos incluso antes de la efectiva firma del contrato. Como ya se ha visto en los hechos probados en este procedimiento, el día en que los agentes de la Guardia Civil realizaron la inspección hallando gran cantidad de documentos con datos personales sin las adecuadas medidas de seguridad que evitasen su alteración, pérdida, tratamiento o acceso no autorizado, no existía contrato en vigor para la destrucción de la documentación con datos personales entre la Consejería y la empresa Alregón Medioambiente, S.L., a quien se pretende derivar la responsabilidad de los hechos. Tampoco existía contrato con la empresa Cartón Jerez, S.L., en cuyas instalaciones se encontró la documentación con los datos personales. La administración denunciada parece querer derivar la responsabilidad a la entidad con la que contrata en fecha posterior a los hechos denunciados, en calidad de encargado del tratamiento, figura definida en el artículo 3.g de la LOPD. En este caso no es posible considerar que la empresa Alregón Medioambiente trataba los datos por cuenta del responsable del tratamiento en contra de sus instrucciones, porque no existía contrato en vigor entre ambos. De manera que la responsabilidad de la ausencia de las medidas de seguridad de los datos personales que la Guardia Civil encontró el día 5 de febrero de 2016 recae en el responsable del fichero. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
13. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. Estas consideraciones conducen a rechazar la alegada vulneración del principio de culpabilidad. La Administración responsable de los datos personales de sus ficheros, es sobre quien recae la responsabilidad de los hechos denunciados que debió actuar con la diligencia exigible para asegurarse de adoptar las medidas de seguridad necesarias que garantizasen la seguridad de los datos. Solicitó la Consejería en sus alegaciones, la ratificación de los agentes actuantes por no tener por ciertos los hechos, cuestión ésta que, en el presente expediente, queda acreditada pues, con fecha 30 de diciembre de 2016, los Agentes actuantes se afirman y ratifican en todos los términos de la denuncia interpuesta en su día. Manifiesta también la Consejería que su empresa contratista les comunica que los documentos entregados se tratan en unas instalaciones adecuadas, y adjuntan un contrato de arrendamiento de local de negocio, que está firmado el 8 de febrero de 2016, entre un particular y la administradora de la entidad Alregón Medioambiente, S.L., para el arrendamiento del local situado en el Polígono Industrial Las Bodegas, Calle Bobadilla 7, de Jerez de la Frontera. Se aporta una fotografía en la que se observa el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 cerramiento del acceso de un local industrial. Los agentes de la Guardia Civil que realizaron la inspección el 5 de febrero de 2016, en la instalación de la entidad Cartón Jerez, S.L., han manifestado en escrito fechado el 30 de diciembre de 2016, que se afirman y ratifican en todos los términos de la denuncia interpuesta en su día. En este procedimiento se imputa la comisión de una infracción administrativa por denuncia formulada por Agentes de la autoridad, cuyas manifestaciones gozan de presunción de veracidad, teniendo reconocido expresamente valor probatorio por el artículo 77.5 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, que dispone: “los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. La presunción de veracidad de lo constatado por los agentes denunciantes tiene carácter “iuris tantum”, ya que su consecuencia no es otra que la de invertir la carga de la prueba, que queda desplazada al denunciado, que es quien debe acreditar, con las pruebas precisas, que no se ajustan a la realidad los hechos descritos por las actuaciones de la autoridad, representando dichas actuaciones fehacientes la necesaria prueba de cargo por parte de la Administración. Las pruebas aportadas por la Consejería no desvirtúan lo acreditado por los agentes de la autoridad en su acta de inspección de 5 de febrero de 2016, ratificada con fecha 30 de diciembre de 2016, toda vez que las manifestaciones de la entidad Alregón sobre el cumplimiento del contrato que entraba en vigor el 1 de marzo de 2016 y el contrato de un local que nada tiene que ver con las instalaciones en que se localizaron los documentos por la Guardia Civil, en nada contradicen las pruebas aportadas y lo manifestado por los Agentes de la autoridad. En el presente caso y teniendo en cuenta la documentación encontrada por la policía denunciante, ha quedado acreditado que la Consejería de Salud de la Junta de Andalucía no adoptó las medidas de índole técnica y organizativa necesarias que garantizasen la seguridad de los datos de carácter personal de sus ficheros, de manera que se evitase el acceso no autorizado a los datos de los mismos. IV El artículo 44.3.
14. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” Dado que ha existido una vulneración en las medidas de seguridad de la Consejería de Salud de la Junta de Andalucía, se considera que ha incurrido en la infracción grave descrita. V El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. La Consejería ha manifestado en sus alegaciones al acuerdo de inicio que no queda acreditado el acceso a los datos personales por persona no autorizada. Respecto de esta alegación cabe contestar que los agentes de la Guardia Civil localizaron la documentación con datos personales responsabilidad de la Consejería de Salud, esparcidos por la parcela del almacén de una empresa, sin que la Consejería disponga de contrato alguno en el que se recojan las instrucciones para el tratamiento de esos datos de carácter personal, ni se estipulen las medidas de seguridad a implementar. Este hecho supone el acceso, al menos, del personal de esta empresa a los datos personales contenidos en la documentación y, en particular, supone el acceso por parte de la persona identificada en el acta de inspección de la Unidad de Seprona-Jerez como propietaria, con quien se realiza la inspección tantas veces citada. Por todo ello no puede aceptarse lo alegado sobre la falta de acreditación del acceso a los datos personales por persona no autorizada. En el caso que nos ocupa, la Consejería de Salud de la Junta de Andalucía es responsable del fichero en el que constan los datos personales de sus administrados, así como de la custodia de la documentación relativa a los mismos y que apareció en la ya referida instalación. Atendiendo a las medidas de seguridad adoptadas por dicha entidad, se comprueba la existencia de un incumplimiento del deber de secreto, produciéndose una ausencia de confidencialidad, por lo que se considera que se ha cometido una infracción del transcrito artículo 10 de la LOPD. VI El artículo 44.3.
15. d)de la LOPD, califica como infracción muy grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, por parte de la Consejería de Salud de la Junta de Andalucía se ha producido una vulneración del deber de secreto que procede calificar como infracción grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 VII En relación con las alegaciones formuladas por la Consejería de Salud de la Junta de Andalucía, en primer lugar hay que señalar que ya en el Acta levantada por la Guardia Civil se indica: “Se observa la existencia de cajas en cuyo interior se observan documentos: justificante de la dispensación, receta XXI, con datos de medicación prescritas a pacientes, con existencia del nº paciente y la prescripción; existe en los exteriores una jaulas con más cajas…”. En el informe explican que hay unas 200 cajas, y en el exterior hay documentos esparcidos con las mismas prescripciones, datos de pacientes… Ya el Acta hace referencia a la existencia de recetas con datos de los pacientes en el exterior y en el interior de la nave, sin que pueda admitirse que se cambian los hechos en el informe. En segundo lugar, alegan que tanto la Guardia Civil como los Inspectores de Datos coinciden con que el denunciado es la mercantil Cartón Jerez y la Agencia sanciona a la Consejería de Salud. Ya se ha explicado que el responsable de la infracción es el responsable del fichero, en este caso la Consejería mencionada, ya que determina la finalidad de esa documentación: su destrucción. No es posible imputar al encargado del tratamiento ya que no se ha separado de lo indicado en el contrato, al no existir dicho contrato. En cuanto a la indefensión ocasionada al no señalar los artículos del Reglamento de desarrollo de la LOPD que se consideran infringidos, se comprueba que en la propuesta de resolución se indica el nivel de seguridad que debe tener la documentación encontrada, añadiendo los artículos infringidos. En relación con la vulneración del deber de secreto, las recetas fueron accedidas por la persona que se encontraba en Cartón Jerez que era un tercero representante de una empresa con la que no se había contratado. VIII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Si bien la Consejería de Salud ha acompañado el contrato de prestación de servicios para la destrucción de documentación con Alregón Medio Ambiente, se le requiere a que informe si es esa empresa quien procede a la recogida y destrucción de las recetas o si existe una subcontratación autorizada con Cartón Jerez, S.L. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar que la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, ha infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.
16. h)y 44.3.
17. d)de dicha norma. SEGUNDO: Requerir a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, en el sentido señalado en el fundamento octavo de esta Resolución; para lo que se abre expediente de actuaciones previas E/1527/2017. TERCERO: NOTIFICAR la presente resolución a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es