AAPP-00056-2014

1/15  Procedimiento Nº: AP/00056/2014 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 26 de noviembre de 2013 tiene entrada en esta Agencia un escrito de Don A.A.A., en el que declara que cuando se encontraba de baja por enfermedad, (…), tuvo conocimiento del acceso indebido e injustificado a su historia clínica, por parte de cuatro trabajadores de un Centro de Salud del Servicio Madrileño de Salud (SERMAS) de la Comunidad de Madrid. Aporta copia impresa del Registro de accesos a su historia Clínica en el periodo de 1 de enero al 20 de septiembre de 2013, en el que se señalan diez accesos de fechas 20 de mayo de 2013, 27 y 28 de junio de 2013 y 2, 5 y 10 de julio de 2013. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 25 de marzo de 2014, se remite copia del citado Registro de Accesos a la historia clínica del denunciante, a la Dirección General de Atención Primaria del SERMAS, con objeto de que se justificaran dichos accesos. Con fecha 16 de abril de 2014, la Dirección General de Atención Primaria remite a esta Agencia la siguiente información: 1 El denunciante es trabajador del SERMAS. 2 En el registro de accesos a su historia clínica constan accesos por parte de los profesionales: a. B.B.B. consta como ***PUESTO.1 en el Consultorio Local de Velilla de San Antonio. Este profesional citó al denunciante en su Agenda el día 20 de mayo de 2013, ese día figuran dos accesos a la Historia Clínica del denunciante en dos horas distintas, sin registros asistenciales en la misma. b. C.C.C., consta como ***PUESTO.2 en el Consultorio Local de Velilla de San Antonio. Dichos accesos no han dejado registro clínico en la Historia clínica del denunciante, por lo que, a priori, no pueden acreditar que estén justificados. TERCERO: Con fecha de 26 de noviembre de 2013 tiene entrada en esta Agencia un escrito de Doña D.D.D., en el que declara que se ha producido un acceso indebido e injustificado a su historia clínica, por parte de cuatro trabajadores de un Centro de Salud del Servicio Madrileño de Salud (SERMAS) de la Comunidad de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Aporta copia impresa del Registro de accesos a su historia Clínica en el periodo de 1 de enero al 3 de junio de 2013, en el que se han señalado cinco accesos de fecha 30 de mayo de 2013, en los que, de forma manuscrita, se indica el cargo de las personas que han accedido. CUARTO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 25 de marzo de 2014, se remite copia del citado Registro de Accesos a la historia clínica del denunciante, a la Dirección General de Atención Primaria del SERMAS, con objeto de que se justificaran dichos accesos. Con fecha 16 de abril de 2014, la Dirección General de Atención Primaria remite a esta Agencia la siguiente información: 1 La denunciante es trabajadora del SERMAS. 2 En el registro de accesos a su historia clínica constan accesos por parte de los profesionales: 3 a. E.E.E., ***PUESTO.3 del Centro de Salud Virgen de Begoña. b. F.F.F., ***PUESTO.4 del Centro de Salud Virgen de Begoña. c. G.G.G., ***PUESTO.5 del Centro de Salud Virgen de Begoña. Dichos accesos no han dejado registro clínico en la Historia clínica de la denunciante, por lo que a priori no pueden acreditar que estén justificados. QUINTO: Con fecha 18 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al Servicio Madrileño de Salud (SERMAS) de la Comunidad de Madrid, por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículo 91 y 103 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 diciembre, de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. SEXTO: Con fecha 5 de enero de 2015, el Director General de Atención Primaria presentó alegaciones al acuerdo de inicio, en las que, en síntesis, expone lo siguiente: - La aplicación de historias clínicas se denomina AP-MADRID y cumple todas las medidas de seguridad apropiadas y recogidas en el Reglamento de desarrollo de la LOPD. - Para el acceso a la aplicación se garantiza el principio de necesidad institucional de información, así como se delimita y restringen las actuaciones de los usuarios. Los profesionales sanitarios pueden acceder a la historia clínica de un paciente no asignado a su cupo para cita, a solicitud del propio afectado. - Para el control, el acceso de los profesionales a la aplicación AP-MADRID debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 solicitarse y ser autorizado mediante un procedimiento formalmente documentado, del que queda registro de las tareas. Los profesionales que acceden deben estar dados de alta en la base de datos CIBELES. El acceso es univoco y nominal por cada profesional con el usuario de DNI profesional. - Las altas, bajas o modificaciones de acceso se solicitan por los responsables de los Centros de Salud en los que prestan servicios. - Se realizan revisiones periódicas de los accesos asignados para poder corregir errores. - Tras tres meses de inactividad, la cuenta se desactiva automáticamente. - Los usuarios están unívocamente identificados. - La aplicación tiene una funcionalidad para emitir perfiles de acceso de acuerdo con las funciones que realiza cada profesional. - Se clasifican en perfiles clínicos, no clínicos y administrativos de seguridad. - Según el perfil, se visualizan un tipo de ventanas y funcionalidades. - Todos los usuarios de AP-MADRID deben conocer y observar las medidas establecidas que están definidas y documentadas. - Existe un Decálogo de Buenas Prácticas para usuarios de sistemas de información de la Consejería de Sanidad. - Se realizan sesiones formativas para concienciar al personal sobre la aplicación de las medidas de seguridad. - De acuerdo con lo dispuesto en el artículo 103 del Reglamento de desarrollo de la LOPD existe trazabilidad de todos los accesos a la aplicación de las historias clínicas, con el usuario, IP, fecha y hora de la operación. Todo lo que se hace sobre los datos de un paciente, queda registrado en un log de accesos; también si el acceso es autorizado. Se mantiene durante 2 años. - Se realizan auditorias bienales; la última se efectuó en el mes de junio de 2014 y la realizó Price Waterhouse-Cooper. - De acuerdo con el artículo 16 de la Ley de Autonomía del Paciente, los accesos están condicionados, principalmente, a la existencia de una relación asistencial con el paciente. - Tras la comprobación de los posibles accesos no justificados por parte de algunos profesionales del SERMAS, que accedieron a la historia clínica de los reclamantes, se iniciaron expedientes disciplinarios. - Los accesos de E.E.E., y de F.F.F., están justificados y se ha archivado su investigación. Por ello, solicitan el archivo del procedimiento. SÉPTIMO: Con fecha 16 de enero de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como la documental aportada por el Servicio Madrileño de Salud, y el Informe de actuaciones previas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 Inspección que forman parte del expediente E/00577/2014; solicitando al Servicio Madrileño de Salud que INFORME, respecto de ambos denunciantes, sobre cuál fue el motivo de cada uno de los accesos objeto de denuncia. En fecha 23 de febrero de 2015, el Director General de Atención Primaria presentó contestación a la práctica de pruebas, señalando que los procedimientos disciplinarios por los accesos a las historias clínicas de los denunciantes, sin justificación, se habían suspendido, al haber acudido ambos denunciantes a la vía judicial penal por los mismos hechos denunciados. Se ha informado de estos aspectos a la jurisdicción penal. OCTAVO: Con fecha 26 de febrero de 2015, la Instructora del expediente se dirigió al Juzgado de Instrucción nº 4 de Coslada, solicitando información sobre SOBRE LAS ACTUACIONES ADOPTADAS EN LAS CITADAS DILIGENCIAS PREVIAS XXXX/2013, con el fin de valorar la existencia de indicios para apreciar la identidad entre la materia objeto de dicho procedimiento judicial y el procedimiento que se tramita en la Agencia Española de Protección de Datos, a cuyo efecto se trasladaba el Acuerdo por el que se inicia el procedimiento de declaración de infracción de Administraciones Públicas, así como el escrito donde se solicita la suspensión del procedimiento. Con fecha 12 de marzo de 2015, se procede a la suspensión del procedimiento de infracción de Administraciones Públicas. Con fecha 10 de noviembre de 2015, el Juzgado de Instrucción nº 4 de Coslada informa a la Agencia que el procedimiento contra B.B.B. y C.C.C., como imputados, y contra el Sermas como responsable civil directo, se encuentra en fase de instrucción. NOVENO: Con fecha 17 de diciembre de 2020, se recibe escrito acompañando la Sentencia del Tribunal Supremo en el recurso de casación interpuesto por B.B.B. y C.C.C.. El Recurso de casación número XXX/2019, de fecha YY de septiembre de 2020, recoge entre los antecedentes de hecho lo siguiente: “Los acusados, aprovechando que, como ***PUESTO.6 del "SERMAS", podían consultar las historias clínicas de los pacientes y siendo conscientes del compromiso de confidencialidad contraído, accedieron con sus claves informáticas personales al historial clínico (…) sin su consentimiento ni conocimiento y sin que mediara relación asistencial que pudiera justificar el acceso... La Audiencia de instancia emitió el siguiente pronunciamiento: "QUE DEBEMOS CONDENAR Y CONDENAMOS al acusado (…) como autor responsable de un delito de descubrimiento y revelación de secretos, ya definido, con la concurrencia de las circunstancias atenuantes de dilaciones indebidas y reparación del daño, a las penas de diez meses de prisión, multa de cinco meses y quince días, con una cuota diaria de 4 euros y responsabilidad personal subsidiaria del artículo 53 del Código Penal en caso de impago, e inhabilitación absoluta por tiempo de un año y seis meses, así como a que indemnice (…) en la cantidad de 800 euros por los perjuicios causados, con la responsabilidad civil subsidiaria del "SERVICIO MADRILEÑO DE LA SALUD". QUE DEBEMOS CONDENAR Y CONDENAMOS a la acusada (…) , como autora responsable de un delito de descubrimiento y revelación de secretos, ya definido, con la concuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 rrencia de las circunstancias atenuantes de dilaciones indebidas y reparación del daño, a las penas de un once meses de prisión, multa de seis meses, con una cuota diaria de 4 euros y responsabilidad personal subsidiaria del artículo 53 del Código Penal en caso de impago, e inhabilitación absoluta por tiempo de un año y seis meses, así como a que indemnice (…) en la cantidad de 1.000 euros por los perjuicios causados, con la responsabilidad civil subsidiaria del "SERVICIO MADRILEÑO DE LA SALUD"… En los Fundamentos de derecho, se recoge lo siguiente, entre otros: “El informe del Servicio Madrileño de Salud ha permitido acreditar la forma en que debían realizarse los accesos, así como el usuario al que cabe atribuir cada acceso porque se precisa para realizar esa operación una clave personal de acceso, integrada por el DNI y una contraseña. Ese informe explica la relevancia del documento de "seguridad del fichero de datos personales" en el que constan los accesos realizados y todos los datos asociados para identificar cada acceso así como las medidas de seguridad que se debían adoptar por el personal para garantizar la confidencialidad de los datos. Por otra parte, los informes del Director General de Atención Primaria del SMS han precisado que la historia clínica sólo puede ser consultada para el desarrollo de una actividad profesional del usuario y no para fines particulares, señalando también los registros que quedan en el sistema cuando se produce un acceso. Merced a las testificales del denunciante y del Dr. H.H.H. y del documento aportado con la querella (documento número 1), cuya veracidad y exactitud ha sido adverada por el organismo responsable de la base de datos, se ha acreditado que con las claves de la recurrente se realizaron los accesos referidos en los hechos probados, habiéndose constado también que eran consultas de la base de datos no permitidas porque entre el denunciante y la recurrente no existía una relación asistencial y porque sólo una relación de esa naturaleza o el ejercicio de funciones relacionadas con la prestación del servicio sanitario (administrativas, estadísticas, etc.) justificarían el acceso, conforme al artículo 16.1 de la Ley 41/2002, de14 de noviembre y demás normas concordantes. A partir de esta inicial constatación es lógico inferir que si se producen accesos no autorizados la persona que los realiza es aquella cuya clave ha sido utilizada, precisamente porque se trata de una medida de seguridad personalizada y no consta, tal y como se refiere en la sentencia, que nadie tuviera conocimiento de la clave personal de acceso de la recurrente y que alguien estuviera interesado en acceder a la historia clínica del denunciante. Se ha alegado que el sistema no era seguro y que cualquiera podía acceder, solicitando el acceso por razones de urgencia mediante la identificación con nombre y DNI o aprovechando, una vez abierto el sistema, el tiempo que tarda en bloquearse por falta de uso. En la sentencia de instancia se desecha esta posibilidad atendiendo a la obligación de los usuarios de no dejar desatendida la información si se dejaba el puesto de trabajo y a que el periodo de caducidad de la apertura del ordenador era de escasamente 15 minutos, según consta en la información remitida por el Servicio Madrileño de Salud. También se justifica en la sentencia el interés que podrían tener los dos acusados en acceder a esa información, interés que en el caso de la recurrente podía ser la evolución de la patología del denunciante y la previsible duración de la sustitución de la que era beneficiaria. En estas circunstancias el acceso por terceros resulta una hipótesis muy remota y que no viene avalada por ningún medio de prueba. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 En el motivo se alude a que los accesos realizados en horario de tarde no pudieron ser realizados por la recurrente porque tenía horario de mañana y porque alguno de esos días estaba en otro lugar realizando otros trabajos (sustitución en el Hospital Quirón y cuidado de un anciano). La sentencia resuelve este alegato afirmando que en esos días bien pudo realizar el acceso a través de un tercero. La sentencia apunta una posible hipótesis, como también podría ocurrir que, pese a trabajar en otro lugar por las tardes, esos días concretos hubiera acudido al Centro de Salud para cualquier gestión. En todo caso, el relato fáctico de la sentencia identifica 7 accesos no autorizados y sólo 3 de ellos fueron por la tarde y el tribunal de instancia, valorando de forma conjunta toda la prueba practicada, concluye en un pronunciamiento de culpabilidad. Consideramos que la argumentación fáctica de la sentencia de instancia se ajusta a parámetros de razonabilidad...” NOVENO: Con fecha 12 de enero de 2021, la Directora de la Agencia Española de Protección de Datos acuerda el levantamiento de la suspensión del procedimiento, notificándolo a los interesados. HECHOS PROBADOS PRIMERO: Con fecha de 26 de noviembre de 2013, tiene entrada en esta Agencia un escrito de Don A.A.A., en el que pone de manifiesto que cuando se encontraba de baja por enfermedad, (…), tuvo conocimiento del acceso indebido e injustificado a su historia clínica, por parte de cuatro trabajadores de un Centro de Salud del Servicio Madrileño de Salud (SERMAS) de la Comunidad de Madrid. Aporta copia impresa del Registro de accesos a su historia Clínica en el periodo de 1 de enero al 20 de septiembre de 2013, en el que se señalan diez accesos de fechas 20 de mayo de 2013, 27 y 28 de junio de 2013 y 2, 5 y 10 de julio de 2013. SEGUNDO: Don A.A.A. es trabajador del SERMAS. En el registro de accesos a su historia clínica constan accesos por parte de los profesionales: B.B.B., ***PUESTO.1 en el Consultorio Local de Velilla de San Antonio. Este profesional realizó, el día 20 de mayo de 2013, dos accesos a la Historia Clínica del denunciante en dos horas distintas, sin registros asistenciales en la misma. C.C.C., ***PUESTO.2 en el Consultorio Local de Velilla de San Antonio, accedió si justificación en la Historia clínica del denunciante, por lo que, a priori, no pueden acreditar que estén justificados. TERCERO: Con fecha de 26 de noviembre de 2013, tiene entrada en esta Agencia un escrito de Doña D.D.D., en el que declara que se ha producido un acceso indebido e injustificado a su historia clínica, por parte de cuatro trabajadores de un Centro de Salud del Servicio Madrileño de Salud (SERMAS) de la Comunidad de Madrid. CUARTO: Doña D.D.D. es trabajadora del SERMAS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 En el registro de accesos a su historia clínica constan accesos por parte de los profesionales: a. E.E.E., ***PUESTO.3 del Centro de Salud Virgen de Begoña. b. F.F.F., ***PUESTO.4 del Centro de Salud Virgen de Begoña. c. G.G.G., ***PUESTO.5 del Centro de Salud Virgen de Begoña. Dichos accesos, no han dejado registro clínico en la Historia clínica de la denunciante, por lo que a priori no pueden acreditar que estén justificados. Tras la verificación efectuada por SERMAS, se constata que solo el acceso efectuado por G.G.G., no está justificado. QUINTO: La aplicación de historias clínicas de la Comunidad de Madrid se denomina AP-MADRID. - Para el acceso a la aplicación se garantiza el principio de necesidad institucional de información, así como se delimita y restringen las actuaciones de los usuarios. Los profesionales sanitarios pueden acceder a la historia clínica de un paciente no asignado a su cupo para cita, a solicitud del propio afectado. - Para el control, el acceso de los profesionales a la aplicación AP-MADRID debe solicitarse y ser autorizado mediante un procedimiento formalmente documentado, del que queda registro de las tareas. Los profesionales que acceden deben estar dados de alta en la base de datos CIBELES. El acceso es univoco y nominal por cada profesional con el usuario de DNI profesional. - Las altas, bajas o modificaciones de acceso se solicitan por los responsables de los Centros de Salud en los que prestan servicios. - Se realizan revisiones periódicas de los accesos asignados para poder corregir errores. - Tras tres meses de inactividad, la cuenta se desactiva automáticamente. - Los usuarios están unívocamente identificados. - La aplicación tiene una funcionalidad para emitir perfiles de acceso de acuerdo con las funciones que realiza cada profesional. - Se clasifican en perfiles clínicos, no clínicos y administrativos de seguridad. - Según el perfil, se visualizan un tipo de ventanas y funcionalidades. - Todos los usuarios de AP-MADRID deben conocer y observar las medidas establecidas que están definidas y documentadas. - Existe un Decálogo de Buenas Prácticas para usuarios de sistemas de información de la Consejería de Sanidad. - Se realizan sesiones formativas para concienciar al personal sobre la aplicación de las medidas de seguridad. - De acuerdo con lo dispuesto en el artículo 103 del Reglamento de desarrollo de la LOPD existe trazabilidad de todos los accesos a la aplicación de las historias clínicas, con el usuario, IP, fecha y hora de la operación. Todo lo que se hace sobre los datos de un paciente, queda registrado en un log de accesos; tam- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 bién si el acceso es autorizado. Se mantiene durante 2 años. - Se realizan auditorias bienales; la última se efectuó en el mes de junio de 2014 y la realizó Price Waterhouse-Cooper. - De acuerdo con el artículo 16 de la Ley de Autonomía del Paciente, los accesos están condicionados, principalmente, a la existencia de una relación asistencial con el paciente. SEXTO: Tras la comprobación de los posibles accesos no justificados por parte de algunos profesionales del SERMAS, que accedieron a la historia clínica de los reclamantes, se iniciaron expedientes disciplinarios. SÉPTIMO: El Tribunal Supremo en el recurso de casación interpuesto por dos de los profesionales sanitarios denunciados señala lo siguiente: “El informe del Servicio Madrileño de Salud ha permitido acreditar la forma en que debían realizarse los accesos, así como el usuario al que cabe atribuir cada acceso porque se precisa para realizar esa operación una clave personal de acceso, integrada por el DNI y una contraseña. Ese informe explica la relevancia del documento de "seguridad del fichero de datos personales" en el que constan los accesos realizados y todos los datos asociados para identificar cada acceso así como las medidas de seguridad que se debían adoptar por el personal para garantizar la confidencialidad de los datos. Por otra parte, los informes del Director General de Atención Primaria del SMS han precisado que la historia clínica sólo puede ser consultada para el desarrollo de una actividad profesional del usuario y no para fines particulares, señalando también los registros que quedan en el sistema cuando se produce un acceso. Merced a las testificales del denunciante y del Dr. H.H.H. y del documento aportado con la querella (documento número 1), cuya veracidad y exactitud ha sido adverada por el organismo responsable de la base de datos, se ha acreditado que con las claves de la recurrente se realizaron los accesos referidos en los hechos probados, habiéndose constado también que eran consultas de la base de datos no permitidas porque entre el denunciante y la recurrente no existía una relación asistencial y porque sólo una relación de esa naturaleza o el ejercicio de funciones relacionadas con la prestación del servicio sanitario (administrativas, estadísticas, etc.) justificarían el acceso, conforme al artículo 16.1 de la Ley 41/2002, de14 de noviembre y demás normas concordantes… Se ha alegado que el sistema no era seguro y que cualquiera podía acceder, solicitando el acceso por razones de urgencia mediante la identificación con nombre y DNI o aprovechando, una vez abierto el sistema, el tiempo que tarda en bloquearse por falta de uso. En la sentencia de instancia se desecha esta posibilidad atendiendo a la obligación de los usuarios de no dejar desatendida la información si se dejaba el puesto de trabajo y a que el periodo de caducidad de la apertura del ordenador era de escasamente 15 minutos, según consta en la información remitida por el Servicio Madrileño de Salud. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento, competencia que se establecía de la misma manera en el momento de producirse los hechos objeto de este procedimiento en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, en la redacción que tenía en el momento de producirse los hechos, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
3. b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
4. c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
5. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
6. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
7. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
8. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
9. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El RLOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
10. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. El artículo 88, en sus puntos 3 y 4, referido al documento de seguridad, establece lo siguiente: “3. El documento deberá contener, como mínimo, los siguientes aspectos:
11. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15
12. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
13. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
14. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
15. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
16. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
17. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
18. a)La identificación del responsable o responsables de seguridad.
19. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.” El artículo 91 Del Real Decreto 1720/2007, establece: “Artículo 91 Control de acceso 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Recordemos en este punto que el SERMAS tiene medidas para el acceso a la aplicación que garantizan el principio de necesidad institucional de información, que delimitan y restringen las actuaciones de los usuarios. Los profesionales sanitarios pueden acceder a la historia clínica de un paciente no asignado a su cupo para cita, a solicitud del propio afectado. Para el control, el acceso de los profesionales a la aplicación AP-MADRID debe solicitarse y ser autorizado mediante un procedimiento formalmente documentado, del que queda registro de las tareas. Los profesionales que acceden deben estar dados de alta en la base de datos CIBELES. El acceso es univoco y nominal por cada profesional con el usuario de DNI profesional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 Las altas, bajas o modificaciones de acceso se solicitan por los responsables de los Centros de Salud en los que prestan servicios. Se realizan revisiones periódicas de los accesos asignados para poder corregir errores y pasados tres meses sin usarse, la cuenta se desactiva automáticamente. Los usuarios están unívocamente identificados y la aplicación emite perfiles de acceso de acuerdo con las funciones que realiza cada profesional, clasificándose en perfiles clínicos, no clínicos y administrativos de seguridad. En función de cada perfil, se visualizan un tipo de ventanas y funcionalidades. En conclusión, el SERMAS tenía establecidas medidas de seguridad, en el momento que se produjeron los hechos, que cumplían lo establecido en el artículo 91 del Reglamento de desarrollo de la LOPD. Por otra parte, en relación con el cumplimiento de lo dispuesto en el artículo 103 del RDLOPD, bajo la denominación “Registro de accesos”, se establece lo siguiente": “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado." “2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido." “3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos." “4. El periodo mínimo de conservación de los datos registrados será de dos años." “5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados." Ha quedado acreditado que la aplicación AP-MADRID dispone de un control de accesos que cumple con lo exigido por el RLOPD, ya que aportó en el procedimiento documentación que acredita tal extremo, de acuerdo con lo dispuesto en el artículo 103 del Reglamento de desarrollo de la LOPD existe trazabilidad de todos los accesos a la aplicación de las historias clínicas, con el usuario, IP, fecha y hora de la operación. Todo lo que se hace sobre los datos de un paciente, queda registrado en un log de accesos; también si el acceso es autorizado. Se mantiene la información durante 2 años. Tras la comprobación de los posibles accesos no justificados por parte de algunos profesionales del SERMAS, que accedieron a la historia clínica de los reclamantes, se iniciaron expedientes disciplinarios. Se realizan auditorias bienales; la última se efectuó en el mes de junio de 2014 y la realizó un auditor externo, Price Waterhouse-Cooper. Cabe concluir por tanto que en el presente caso el sistema de información denominado, desarrollado por el SERMAS de la Comunidad de Madrid, y que gestiona la historia clínica electrónica cumple con las medidas de seguridad exigidas por el art. 93 (control de accesos) y 103 (registro de accesos) del RLOPD, tendentes a evitar accesos no autorizados (art. 9 de la LOPD) al acreditarse que se dispone de un control y un registro de accesos a las historias clínicas, así como de listas cerradas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 usuarios con acceso a las historias clínicas dado su vinculación asistencial con los titulares de las mismas, y caso de no existir dicho vínculo, la existencia de medida de seguridad que impide el acceso a aquellos usuarios que no tengan dicho vínculo o una actividad programada con el paciente, exigiendo al usuario del sistema que en estos casos, una justificación para el acceso a la historia clínica, justificación de la cual el sistema guarda registro de tal manera que puede comprobarse posteriormente la idoneidad o no de la referida justificación aducida por el profesional para efectuar el acceso a la historia clínica. De este modo pudieron identificarse los accesos que dieron lugar a posteriori investigación por parte de la Consejería habida cuenta que la justificación reflejada por los usuarios en el sistema no se consideró en principio suficiente conforme a las tareas desarrolladas por los referidos usuarios. Conforme a los anteriores hechos y fundamentos de derecho procede en el presente caso el archivo del presente procedimiento por no apreciarse infracción de lo dispuesto en el artículo 9 de la LOPD, en relación con los artículos 91 y 103 del RLOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento de declaración de infracción de las Administraciones Púbicas AP/00056/2014. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es