AAPP-00054-2016

1/13 Procedimiento Nº AP/00054/2016 RESOLUCIÓN: R/00696/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00054/2016, instruido por la Agencia Española de Protección de Datos a la entidad COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fechas 18 de enero y 11 de febrero de 2016, tienen entrada en esta Agencia escritos de Do A.A.A., en el que pone de manifiesto que, es trabajadora del Hospital Universitario La Paz, ante el cual solicitó, con fecha 12 de agosto de 2015, el registro de accesos a su historia clínica. Según la información facilitada por el Hospital, le confirman que hay accesos correspondientes a la responsable médica encargada de su proceso clínico y por otra parte, accesos de su Jefa de Servicio que no tienen justificación asistencial ni autorización por su parte. Tras las averiguaciones pertinentes, le informaron de que los accesos se habían realizado con la clave de su Jefa de Servicio pero por dos trabajadoras adscritas al mismo servicio que la denunciante, con fechas 8 de junio y 3 de julio de 2015. Adjunta copia del Listado de accesos realizados durante el periodo comprendido entre el 1 de junio y el 3 de julio de 2015, así como copia de la carta remitida por el Director Gerente a la denunciante en contestación a su solicitud sobre los accesos realizados a su historia clínica, donde consta que los accesos habían sido realizados por dos de sus compañeras, sin justificación. En el escrito de respuesta del Hospital Universitario La Paz a la denunciante, le comunican que han realizado una auditoría sobre los accesos a su historia clínica, en la que han comprobado accesos no autorizados por dos trabajadoras adscritas al mismo servicio en que ella trabaja. Que las trabajadoras reconocieron los hechos y se les informó de su gravedad. Que han decidido no iniciar medidas disciplinarias pero la información quedará registrada y se les va a hacer un seguimiento exhaustivo. Que van a adoptar las medidas organizativas para ubicarlas en puestos de trabajo más apropiados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 14 de abril de 2016, se recibe escrito del Director Gerente del Hospital Universitario La Paz, con el que se adjunta la siguiente documentación: Listado de accesos realizados a la historia clínica de la denunciante, los días 8 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 junio y 3 de julio de 2015. Registro donde figura la identidad del propietario de la clave que realizó los accesos, con la categoría de enfermera. Identidad de las personas que realizaron el acceso. Informe de la usuaria propietaria de la clave, Jefa del Servicio en el que trabaja la denunciante, al Subgerente de La Paz, con relación a los motivos por los que dichas empleadas tenían acceso a su clave, en el que manifiesta que: Cuando un paciente desea ejercer sus derechos ARCO al historial, requieren dicha documentación con urgencia, procurando tramitarlos en el mismo momento de presentar su solicitud para evitarles desplazamientos innecesarios. No obstante tanto las respuestas a las reclamaciones como la gestión de los derechos ARCO tienen unos plazos de 30 días desde su presentación. La razón fundamental por la que confió su clave a sus secretarias es porque en el Servicio solo ella como Jefa de Servicio, tenía permiso de acceso a la herramienta informática de la Estación Clínica, que está restringido a los facultativos y a algunas enfermeras en función del puesto de trabajo que desempeñen. Debido al ejercicio de sus funciones, tiene que atender a diversas obligaciones dentro y fuera del Hospital, por dicho motivo confió su clave a sus secretarias para que pudieran acceder, siempre de manera tutorizada, al aplicativo en el ejercicio de sus funciones en materia de reclamaciones y derechos ARCO. Cualquier acceso con fines diferentes a los referidos, supone un uso perverso de las claves de acceso y una traición a la confianza en ellas depositada. TERCERO: Con fecha 26 de octubre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ por la presunta infracción de los artículos 6.1 y 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. b)y 44.3.
2. h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “Con independencia de la calificación que dicho hecho pudiera merecer, es lo cierto que la Comunidad de Madrid, Consejería de Salud, Hospital Universitario ‘la Paz tiene adoptadas medidas de índole técnica y organizativas para garantizar la seguridad de los datos de carácter personal con el fin de evitar su alteración, pérdida o tratamiento no autorizado. Dichas medidas son las que el desarrollo actual tecnológico permite utilizar, habida cuenta de la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural, manteniendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 tanto los ficheros, como los locales, programas y equipos que contienen datos de carácter personal con las debidas condiciones de seguridad establecidas. (…) … una utilización insegura, corno ha sido el caso ceder las claves de acceso la responsable de Atención al Paciente, ha requerido un acto consciente por parte de dicha usuaria, tal y como ella misma ha reconocido. Esta persona, por su formación específica y responsabilidad del puesto desempeñado podía, debía y tenía que conocer los deberes de custodia de las claves asignadas a ella misma y la responsabilidad que se adquiere obteniendo una clave de acceso al sistema y que vienen reiteradamente establecidas en el ámbito de nuestra Comunidad de Madrid, Servicio Madrileño de Salud, Hospital Universitario ‘La Paz”. Asimismo, podía, debía y tenía que conocer la existencia del procedimiento para la solicitud de las claves (se adjunta como documento anexo), que, lógicamente, debe formular el propio responsable del servicio o de la unidad cuando lo considera necesario o imprescindible para el desempeño de las tareas profesionales, justificando la solicitud e informando del perfil del usuario, siendo lo cierto que en ningún caso solicitó para su personal auxiliar claves adicionales a la suya propia para acceder al sistema de ficheros de datos de carácter personal del Hospital y si, según reconoce en su escrito, facilitó su clave de uso estrictamente personal a las auxiliares administrativas de su Servicio con finalidad exclusivamente laboral En cualquier caso, lo que sí es inobjetable es que la Comunidad de Madrid, Consejería de Salud, Hospital Universitario “La Paz” se esfuerza en ser especialmente rigurosos y transparentes con la AEPD en todo lo relativo a la protección de los datos de carácter personal, con especial incidencia en la concienciación de todo el personal mediante continuas tareas de formación dirigidas a todo el personal insistiendo en la ineludible necesidad de observar la normativa vigente y las disposiciones aplicables en garantía de los derechos de nuestros pacientes. (…) Una prueba más de que consideramos que sería verdaderamente excesiva la imputación al Hospital Universitario La Paz de las infracciones que se indican en la Resolución de la Directora de la Agencia Española de Protección de Datos es que las medidas de detección han funcionado en este caso y que, de manera inmediata, se pusieron en marcha las medidas de reacción que figuran explicitadas en el expediente, pues una vez detectado el incidente, se actuó en múltiples capas primero auditando y revisando los hechos, segundo neutralizando los efectos, minimizando el impacto final, tercero, haciendo imposible, según dichos antecedes, la repetición de los mismos y, por último, dando traslado de manera inmediata a la AEPD de todo lo actuado por encima de lo mínimamente exigible como un plus de garantía adicional que la actuación de dicha entidad aporta en todas sus actuaciones.” QUINTO: Con fecha 21 de diciembre de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Doña A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00445/2016. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 acuerdo de inicio AP/00054/2016 presentadas por la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, y la documentación que a ellas acompaña. SEXTO: Con fecha 2 de febrero de 2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ ha infringido lo dispuesto en los artículos 6.1 y 9.1 de la LOPD, lo que supone dos infracciones tipificadas como graves en el artículo 44.3.
3. b)y 44.3.
4. h)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los mencionados artículos de la LOPD. Dicha propuesta fue recibida el día 6 de febrero de 2017, sin que se hayan recibido alegaciones ante la Propuesta de resolución. HECHOS PROBADOS PRIMERO: Una trabajadora del Hospital Universitario La Paz ha comunicado a esta Agencia que se han realizado accesos a su historia clínica por parte de su Jefa de Servicio que no tienen justificación asistencial. En el listado de accesos figuran los realizados los días 8 de junio y 3 de julio de 2015 con la clave de la Jefa de Servicio de la denunciante. Adjunta copia de la carta, de fecha 26 de enero, del Director Gerente a la denunciante en la que le comunica que tras una auditoría sobre los accesos a su historia clínica, han comprobado que los accesos no autorizados han sido efectuados por dos trabajadoras adscritas al mismo servicio en que ella trabaja. Que las trabajadoras reconocieron los hechos y se les informó de su gravedad. Que las medidas que decidieron adoptar fueron: no iniciar medidas disciplinarias, registrar la información, hacerles un seguimiento exhaustivo y ubicarlas en puestos de trabajo más apropiados. SEGUNDO: El Director Gerente del Hospital La Paz, a solicitud de esta agencia, ha aportado la documentación correspondiente a los hechos denunciados, con constancia de los accesos a la historia clínica de la denunciante sin justificación asistencial, la identidad del propietario de la clave con que se efectuaron, la identidad de las personas que realizaron el acceso y un informe de la propietaria de la clave de acceso respecto de los motivos por los que sus empleadas tenían acceso a su clave. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
6. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 diciembre, define el tratamiento de datos personales en su artículo 5.t), en los siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que los accesos a la historia clínica de la denunciante por sus compañeras de trabajo, constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. De los hechos probados en este procedimiento, se deduce que se han producido accesos no justificados e inconsentidos a la historia clínica de la denunciante. Consta también como hecho probado que en el listado de accesos figuran los realizados los días 8 de junio y 3 de julio de 2015 con la clave de la Jefa de Servicio de la denunciante que no tienen justificación asistencial. El 26 de enero de 2016, el Director Gerente del Hospital La Paz comunicó a la denunciante que comprobaron que los accesos no autorizados se realizaron por dos trabajadoras adscritas al mismo servicio en que ella trabaja. Que las trabajadoras reconocieron los hechos y se les informó de su gravedad. Que las medidas que decidieron adoptar fueron: no iniciar medidas disciplinarias contra ellas, registrar la información, hacerles un seguimiento exhaustivo y ubicarlas en puestos de trabajo más apropiados. El Director Gerente del Hospital La Paz, ha informado a esta agencia aportando la documentación correspondiente a los hechos denunciados, con constancia de los accesos a la historia clínica de la denunciante sin justificación asistencial, comunica la identidad de la propietaria de la clave con que se efectuaron, la identidad de las personas que realizaron el acceso y un informe de la propietaria de la clave de acceso respecto de los motivos por los que sus empleadas tenían acceso a su clave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En el presente procedimiento no hay constancia de consentimiento para el tratamiento de datos personales realizado. Si consta acreditado el tratamiento de datos realizado por parte de las empleadas del Hospital la Paz a la historia clínica de la denunciante, en el listado aportado al presente expediente del Hospital Universitario de la Paz. La titular de la clave con la que se realizaron los accesos ha manifestado que confió su clave a sus secretarias para que pudieran acceder a la aplicación en el ejercicio de sus funciones en materia de reclamaciones y derechos ARCO, debido a que tiene que atender a obligaciones dentro y fuera del Hospital. Expone también que cualquier acceso con fines diferentes a los referidos, supone un uso perverso de las claves de acceso y una traición a la confianza en ellas depositada. El artículo 7.3 de la LOPD señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
8. h)de la LOPD, en la que resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin él difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
9. a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En el presente caso, no consta la existencia de actos de la afectada que revelen que efectivamente dio su consentimiento para el tratamiento realizado de sus datos de salud, pues consta la presente denuncia a la AEPD, lo que revela precisamente la inexistencia de ese consentimiento expreso necesario para el acceso efectuado. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. El tratamiento de datos personales realizado con el acceso a la historia clínica de la denunciante sin justificación asistencial, no se encuentra entre uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud. Por tanto corresponde a la denunciada acreditar que contaba con ese consentimiento inequívoco de la afectada para el tratamiento de sus datos personales. III Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que la denunciada ha utilizado los datos personales de la historia clínica de la denunciante para una finalidad distinta de la prevista en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. Su artículo 7, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En este procedimiento se ha acreditado que la denunciada ha tratado los datos relativos a la salud de una paciente para una finalidad incompatible con aquella para la que fueron recogidos: la asistencia sanitaria, el tratamiento médico o la gestión de servicios sanitarios. El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 afectado para su tratamiento. El hecho constatado del tratamiento de los datos personales especialmente protegidos de la afectada sin su consentimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 6.1 en relación con el 4.2 ambos de la LOPD. IV El artículo 44.3.
10. b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto no consta la existencia de actos de la afectada que revelen que dio su consentimiento para el tratamiento realizado con sus datos, tal y como establece el artículo 6.1 de la LOPD, en relación con las finalidades para las cuales se puede acceder a la historia clínica de una paciente. V El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
11. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Por su parte el artículo 3.
12. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
13. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
14. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
15. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
16. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
17. h)de la citada Ley. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
18. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. De los hechos probados en este procedimiento, se deduce que la Consejería de Salud de Madrid, en su calidad de responsable del tratamiento de los datos de salud contenidos en las historias clínicas de sus pacientes, debió adoptar las medidas necesarias para impedir cualquier acceso inconsentido a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que dos empleadas accedieron a los datos relacionados con la salud de la denunciante sin justificación asistencial y utilizando la clave facilitada por la Jefa de Servicio. Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. No hay duda de que el acceso a los datos personales de la denunciante lleva a la conclusión de que las medidas de seguridad no evitaron el acceso de personas no autorizadas a los datos de carácter personal relacionados con la salud. La Dirección del Hospital “La Paz” ha manifestado que la cesión de la clave de acceso de la responsable de Atención al Paciente ha requerido un acto consciente por parte de dicha usuaria, quien facilitó su clave de acceso de uso estrictamente personal a las auxiliares de su Servicio con una finalidad exclusivamente laboral. El artículo 91 del Reglamento de desarrollo de la LOPD, respecto del Control de acceso, señala: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Estos preceptos inciden en las medidas de seguridad que se vulneraron en esta ocasión, toda vez que se produjeron accesos al sistema por parte de usuarios sin autorización para ello. En este sentido, la Audiencia Nacional en numerosas Sentencias, entre otras la de 24 de marzo de 2015, indica: “Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros.” Por otra parte, el Hospital Universitario de La Paz ha alegado que sería excesiva la imputación de las infracciones que se indican porque las medidas de detección han funcionado, que dispone de medidas para garantizar la seguridad de los datos y que se esfuerzan en ser rigurosos en todo lo relativo a la protección de los datos de carácter personal. A este respecto la Audiencia Nacional, en varias sentencias ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En definitiva, la Consejería de Sanidad de la Comunidad Autónoma de Madrid, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para impedir el acceso no autorizado a la información de carácter personal de la denunciante, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. VI El artículo 44.3.
19. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” Si bien la Consejería de Sanidad, UH La Paz ha acompañado las medidas de seguridad implantadas, así como las Jornadas y actividades formativas llevadas a cabo para concienciar al personal sanitario de la necesidad de aplicar las medidas de seguridad, estas medidas deben ir acompañadas de un seguimiento efectivo, de conformidad con lo establecido en la LOPD y en su Reglamento de desarrollo. Así en el artículo 103, referido a las medidas de seguridad de nivel alto (las necesarias para los datos de salud) establece que una vez al mes se deben realizar controles de los accesos registrados haciendo un informe de las revisiones realizadas y los problemas detectados. En el presente caso ha quedado acreditado que la Consejería de Sanidad de la Comunidad Autónoma de Madrid, Hospital Universitario de La Paz, no adoptó las medidas necesarias que garantizasen la seguridad de los datos de carácter personal y evitasen su alteración, pérdida, tratamiento o acceso no autorizado, al no haber impedido el acceso de terceras personas no autorizadas a los datos personales de la denunciante con información relativa a su salud. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ ha infringido lo dispuesto en los artículos 6.1 y 9.1 de la LOPD, tipificadas como graves en los artículos 44.3.
20. b)y 44.3.
21. h)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 SEGUNDO: Requerir a la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 6.1 y 9.1 de la Ley Orgánica 15/1999. Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar, para lo que se abre expediente de actuaciones previas E/1679/2017. TERCERO: NOTIFICAR la presente resolución a la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es