← España

AAPP-00058-2013

1/14 Procedimiento NºAP/00058/2013 RESOLUCIÓN: R/01441/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00058/2013, instruido por la Agencia Española de Protección de Datos a la entidad Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases), vista la denuncia presentada por la AUTORITAT CATALANA DE PROTECCIÓ DE DADES, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de abril de 2013, tiene entrada en esta Agencia un escrito de la Autoridad Catalana de Protección de Datos, en el que denuncia la cesión de datos personales de enfermos de SIDA por parte de varios Hospitales públicos y del Hospital SON DURETA de Palma de Mallorca, al Centro de Estudios Epidemiológicos sobre Enfermedades de Transmisión Sexual (CEEISCAT). Asimismo denuncia, que la FUNDACIÓN SIDA Y SOCIEDAD, cuyo Presidente es el mismo que el del CEEISCAT está tratando datos de enfermos de SIDA de Guatemala, en el marco del Proyecto denominado MANGUA. Se adjunta CD con la información. De las actuaciones realizadas por la Autoritat Catalana de Protecció de Dades se desprende que podrían haberse comunicado al CEEISCAT, en el marco del proyecto PISCIS, por parte de los hospitales participantes, datos de carácter personal relativos a la salud de diversos pacientes, identificados o identificables sin su consentimiento expreso y sin la concurrencia de una habilitación legal que autorizara dicha comunicación de datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 10 y 25 de septiembre de 2013, se reciben en esta Agencia escritos de LA FUNDACION PRIVADA SIDA Y SOOCIEDAD, en los que se pone de manifiesto que: 1.1. Los datos utilizados para el Proyecto MANGUA se encontraban en un fichero inscrito en el RGPD, que al haber finalizado el Proyecto han sido destruidos los datos incluidos en el mismo y el fichero ha sido dado de baja. 1.2. El Proyecto MANGUA ha sido financiado por la Agencia Catalana de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Cooperació al Desenvolupament y desarrollado por LA FUNDACION SIDA Y SOCIEDAD (en adelante la Fundación), en colaboración con La Organización Panamericana de Salud, como actividad de soporte técnico al Ministerio de Salud Pública y Asistencia Social de la República de Guatemala. 1.3. La implicación de la Fundación consistió en el diseño e implementación de un aplicativo informático para la informatización de la historia clínica de los enfermos de VIH, atendidos en hospitales públicos de Guatemala, con finalidad de farmacovigilancia y estadísticas. Los datos tratados son proporcionados siempre por dichos hospitales. 1.4. El Proyecto MANGUA siempre se ha llevado a cabo en el marco de Acuerdos de Colaboración entre la Agència Catalana de Cooperació al Desenvolupament, Ministerio de Salud Pública y Asistencia Social de Guatemala y FUNDACIÓ SIDA I SOCIETAT. Se adjunta copia de la siguiente documentación: 1.4.1.Noticia de la oficialización del aplicativo MANGUA parte del sistema nacional de información del Ministerio de Salud Pública y Asistencia Social de Guatemala, 1.4.2.Convenio de Colaboración entre la Agència Catalana de Cooperació al Desenvolupament y el Ministerio de Salud Pública y Asistencia Social de la República de Guatemala. 1.4.3.Adenda al citado Convenio (2006-2008) 1.4.4.Acuerdo de modificación de la adenda de fecha 10 de noviembre de 2008. 1.4.5.Convenios marco de coordinación y cooperación entre el Ministerio de Salud Pública de Guatemala y FUNDACIÓ SIDA I SOCIETAT. 1.4.6.Diferentes Acuerdos entre el Ministerio de Salud Pública de Guatemala y la FUNDACIÓ SIDA I SOIETAT. 1.5. El pasado mes de julio la FUNDACIÓ SIDA I SOCIETAT se ha integrado en las estructuras del Ministerio de Salud Pública y Asistencia Social de la República de Guatemala, porque la Fundación no ha podido conseguir financiación. Se está realizando el informe final y procediendo a la cesión definitiva y gratuita del aplicativo a dicho organismo. Por este motivo dicha Fundación abandonara su sede social en España a finales del mes de septiembre de 2013, a la espera de ser disuelta por el Patronato que la regenta, conforme a la Ley. 2. Con fecha 13 de septiembre de 2013, se recibe en esta Agencia escrito del Hospital Son Dureta de Palma de Mallorca (ahora Hospital Universitario Son Espases), en el que ponen de manifiesto que: 2.1. El Proyecto PISCIS es un proyecto multicéntrico con financiación externa, para la cual se ha realizado un protocolo con los objetivos investigadores firmado por parte de todos los investigadores y previamente autorizado por el CIS del Hospital, se adjunta los protocolos de 2005 y 2006. Además se firmó un contrato específico de confidencialidad que también se adjunta. 2.2. Con relación a la acreditación y muestra del envío de datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 2.2.1.Tipo de datos: Variables demográficas y clínico epidemiológicas, relacionadas con la evolución de la enfermedad y la efectividad de los tratamientos. Esta información es la que se recoge en la visita clínica, según consta en la ficha que se adjunta. 2.2.2.En el caso del este Hospital, el acceso a los datos para el Proyecto se realiza a través de una aplicación propia, específica para varios Hospitales de la Islas Baleares, a la que solo se tiene acceso mediante clave de identificación. A partir del fichero definido por PISCIS se genera un fichero comprimido (ZIP) con los ficheros requeridos y registra la generación del fichero y datos del usuario que lo generó. La información requerida por PISCIS desvincula mínimamente la información de los pacientes, ya que no envía los nombres de los pacientes, DNI, tarjeta sanitaria o cualquier otro documento que pueda relacionar al paciente, sino que se genera un código único para anonimizar los datos, “código PISCIS”. El fichero ZIP se cifra con una contraseña acordada telefónicamente y previamente con la organización PISICIS, para cada envío se genera una contraseña alfanúmerica con una longitud mínima de 8 caracteres. Finalmente el fichero es enviado por correo electrónico al responsable del Proyecto. La base de datos ha sido autorizada por el sistema de informatica del Hospital y está integrada con los diferentes sistemas de información del mismo. Los perfiles autorizados son: médicos, farmacéuticos y una enfermera y administrativos responsables de los pacientes. Se tiene acceso a toda la información clínica necesaria para su práctica profesional. 2.2.3.Se adjunta un modelo de impreso de CONSENTIMIENTO POR ESCRITO para el Proyecto PISICIS. TERCERO: Con fecha 14 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases) por la presunta infracción del artículo 11.1 en relación con el artículo 7.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como muy grave en el artículo 44.4.

  1. b)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases) presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “El Hospital Son Espases dependiente del Servei de Salut de las Illes Balears, (antiguo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Hospital Son Dureta) forma parte del proyecto PISCIS. Proyecto multicéntrico con financiación externa. En fecha 16/10/2008 se firmó por periodo de cinco años, acuerdo de Confidencialidad en un ámbito de colaboración científica sobre intercambio de datos para el estudio de la evolución de la infección VIH. En el mismo las partes se obligaron a cumplir adecuadamente y en todo momento las disposiciones de la LOPD. El acceso a los datos para el proyecto PISCIS se realiza a través de una aplicación propia (eVIH) específica para los hospitales de Son Dureta/Son Espases, hospital de Manacor y Son Llatzer, denominada eVlHa, a la que sólo se tiene acceso con clave de identificación. A partir del formato de fichero definido por PISCIS la aplicación eVIHa genera un fichero zip con los ficheros requeridos (.csv) y registra la generación del fichero, con la fecha de generación y el usuario que generó dicho ZIP. La información requerida por PISCIS desvincula la información de los pacientes ya que no envía ni sus nombres, ni DNI, ni tarjeta sanitaria, etc que pueda relacionar al paciente. La herramienta genera un código único para anonimizar los datos de los pacientes, código PISCIS. (…) Por tanto el Servei de Salud entiende que se ha producido una disociación de datos al amparo del artículo 11 .6 de la LOPD y por tanto no era exigible el consentimiento para la comunicación de datos a terceros.” Concluyen las alegaciones solicitando que se archive el “citado procedimiento sancionador”. QUINTO: Con fecha 16 de abril de 2014 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la AUTORITAT CATALANA DE PROTECCIÓ DE DADES y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases), y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03071/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00058/2013 presentadas por Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases), y la documentación que a ellas acompaña. SEXTO: Con fecha 12 de junio de 2014, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se exonere de responsabilidad al Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases) por los hechos imputados en el presente procedimiento de Declaración de Infracción al no quedar acreditada la infracción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 artículo 11.1 en relación con el artículo 7.3 de la LOPD, tipificada como muy grave en el artículo 44.4.
  2. b)de dicha norma. SÉPTIMO: La propuesta de resolución fue notificada a la entidad imputada en fecha 17 de junio de 2014. HECHOS PROBADOS PRIMERO: El Hospital Universitario Son Espases participa en el estudio clínico denominado “Cohorte Multicéntrica de personas adultas con infección VIH (PISCIS)”. Esta participación se concreta en la cesión de datos de carácter personal relativos a la salud de sus pacientes, al Centro de Estudios Epidemiológicos sobre las Infecciones de Transmisión Sexual y Sida de Cataluña (CEEISCAT). (folios 42 a 50) SEGUNDO: El Hospital ha manifestado que en fecha 16 de octubre de 2008 se firmó por un periodo de cinco años, acuerdo de confidencialidad en un ámbito de colaboración científica sobre intercambio de datos para el estudio de la evolución de la infección VIH. Ha manifestado también que la información requerida por PISCIS desvincula mínimamente la información de los pacientes ya que no envía los nombres de pacientes, ni información de DNI, tarjeta sanitaria que pueda relacionar al paciente, si no que genera un código único para anonimizar los datos de los pacientes, código PISCIS. (folios 42 a 50) TERCERO: El Hospital Universitario Son Espases no ha podido acreditar en el presente expediente que contara con el consentimiento para la cesión a terceros de los datos personales relativos a la salud de sus pacientes en el ámbito del proyecto PISCIS. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos y responsable del fichero o del tratamiento, consentimiento y cesión de datos que se acuñan en los apartados a), b), c), d),
  4. h)e
  5. i)del artículo 3 de la LOPD. De este modo, tenemos que: “
  6. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
  7. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  8. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  9. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
  10. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
  11. i)Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado”. Por su parte, la Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
  12. b)a la cesión, dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.” III Se imputa a la entidad Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases) una infracción del artículo 11 de la LOPD, que dispone en sus apartados 1 y 2 lo siguiente: “1.Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  13. a)Cuando la cesión está autorizada en una Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14
  14. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  15. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  16. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  17. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  18. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. Añade el punto 3 del citado artículo 11 de la LOPD que “será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” En sintonía con esta doctrina constitucional, la sentencia de la Audiencia Nacional de 2 de febrero de 2005, entre otras, dice lo siguiente: “El derecho fundamental a la protección de datos persigue, en suma, garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino; o dicho de otro modo, del derecho a la intimidad permite excluir ciertos datos personales del conocimiento ajeno; mientras que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Por lo tanto, el objeto de la protección de datos- de aquí su singularidad- es más amplio que el objeto de la intimidad , pues entre otras cosas, y en lo que ahora nos interesa tiene como contenidos esencial del mismo, el conferir a la persona afectada el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera intimad de la persona y la prohibición de usar de los datos a ella referente: El mismo atribuye a su titular un conjunto de poderes o facultades que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 traducen en auténticos deberes para aquellos que utilizan los datos, y que son , esencialmente: el derecho a que se requiera el consentimiento para la recogida y uso de datos personales; el derecho a saber y ser informado sobre el destino y uso de los mismos; y el derecho acceder, rectificar y cancelar dichos datos. Pues solo así se puede garantizar el poder de disposición sobre los datos personales”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso ha quedado acreditado que los datos personales relativos a la salud de los pacientes del hospital Universitario Son Espases se comunicaron al CEISCAT para su tratamiento en el ámbito del estudio clínico denominado proyecto PISCIS. La Autoridad Catalana de Protección de Datos comunicó a esta Agencia Española de Protección de Datos que varios hospitales públicos podrían haber cedido datos personales de enfermos de SIDA al Centro de Estudios Epidemiológicos sobre enfermedades de transmisión sexual, CEEISCAT, y que podría haberse hecho sin su consentimiento expreso y sin la concurrencia de habilitación legal que lo autorizara. Los datos personales que el hospital comunicó al CEEISCAT son relativos a la salud de sus pacientes que tienen la consideración de especialmente protegidos de acuerdo con el artículo 7.3 de la LOPD que establece: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente." De ello resulta que, si bien el tratamiento de datos de carácter personal de cualquier índole exige el consentimiento inequívoco de su titular, el tratamiento de datos de salud (artículo 7 .3) exige, además, que el consentimiento del interesado sea expreso (salvo que tenga por finalidad el diagnostico o la prestación de la asistencia sanitaria, en cuyo caso es necesario que el tratamiento se realice por un profesional sanitario). IV Para la valoración de los hechos controvertidos en el presente caso es necesario partir de las consideraciones efectuadas por la Autoridad Catalana de Protección de Datos, en los expedientes por ella resueltos por un lado frente al CEEISCAT y por otro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 frente a los hospitales públicos de Cataluña participantes en el proyecto PISCIS. A estos efectos se reproduce en parte lo expuesto por la ACPD en las resoluciones de los hospitales cedentes, entre otras en las resoluciones de los procedimientos sancionadores 58 y 59/2013. Respecto del consentimiento expreso la ACPD expone en las citadas resoluciones lo siguiente. Que en su resolución del procedimiento sancionador n. 14/2013, ya se pronunció sobre el carácter ilícito de esta cesión de datos. Ese pronunciamiento se hizo al abordar el tratamiento que hacía el CEEISCAT de los datos que había recibido de varios Hospitales. El consentimiento expreso debe ser entendido como una declaración clara e inequívoca que se obtiene de la persona afectada. No serviría como tal el consentimiento que se hubiera podido obtener empleando el modelo que facilitaba el CEEISCAT al Hospital a tal efecto. Uno de los pilares fundamentales del consentimiento es que éste sea informado, lo que significa que en el momento de obtener el consentimiento para el tratamiento de los datos personales, la información que se facilita debe ser precisa e inequívoca. A este respecto, la "HOJA DE INFORMACIÓN AL PACIENTE PROYECTO PISICS" que acompañaba a la hoja que firmaba la persona afectada como muestra de su consentimiento, generaba al interesado la expectativa de que la información relativa a su persona, que sería objeto de comunicación, no permitiría su identificación, es decir, que sería anonimizada o disociada. En concreto, se utilizaban en dicho modelo expresiones como: "En ningún caso se recogerán el nombre y apellidos" o "los resultados serán analizados a través de un identificador propio del estudio". Al margen de lo anterior, hay que advertir que también podía inducir a equívoco la información facilitada sobre la finalidad a la que se destinaban los datos, la identidad del receptor de la comunicación y de la actividad que éste lleva a cabo. Todo esto llevaría a considerar que el eventual consentimiento prestado por las personas afectadas no era inequívoco, en el sentido de que no admitía duda o equivocación y por tanto se convertiría en nulo. Con respecto a la concurrencia de habilitación legal la ACPD consideró lo siguiente: Una vez sentada la falta de consentimiento expreso de las personas afectadas por la cesión de sus datos de salud al CEEISCAT, procede analizar si esta comunicación de datos de salud estaba autorizada por una ley, art. 7.3 LOPD. Al respecto, la entidad imputada por la ACPD invocaba la Ley 23/1998, de 30 de diciembre, de estadística de Cataluña (en adelante, LEC) como habilitación legal que legitimaría la cesión al CEEISCAT. La Autoridad consideró, en la resolución del procedimiento sancionador n. PS 14/2013, que para la elaboración de la estadística controvertida no era necesario tratar los datos relativos a la salud que permitieran identificar o hacer identificable a una persona. Se consideró que se podrían haber empleado identificadores que no permitieran vincular la información a una persona identificada o identificable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Así las cosas, la ACPD consideró que la LEC no habilita al Hospital a ceder al CEEISCAT datos de carácter personal relativos a la salud en el marco del proyecto Piscis con fines estadísticos, sin el consentimiento expreso de las personas afectadas. En conclusión, ante la falta de consentimiento expreso de las personas afectadas, se requería la concurrencia de una habilitación legal expresa y específica que legitimara la comunicación de los datos de salud que son objeto de este procedimiento. Al no concurrir ni habilitación legal ni consentimiento expreso de los afectados, la comunicación de datos controvertida requería la previa disociación de los datos, de modo que no se permitiera la identificación de las personas afectadas por el personal del CEEISCAT. En la resolución del procedimiento sancionador 14/2013 frente al CEEISCAT, la ACPD consideró que al no concurrir ni habilitación legal ni consentimiento expreso de los afectados, la elaboración de la estadística controvertida requería la previa disociación de los datos, de modo que no se permitiera la identificación de las personas afectadas por el personal del CEEISCAT. A este respecto, señala la ACPD que el uso del código IdPiscis no comportaba la disociación de los datos, pues este código se configura a partir de las dos primeras letras de los apellidos, la fecha de nacimiento (aaaa / mm /
  19. dd)y sexo (1 = hombre, 2 = mujer), lo que permite identificar a la persona afectada. Además, hay que tener en cuenta que el código referido es casi idéntico al número de tarjeta sanitaria. En relación al procedimiento de disociación exigido para evitar la posibilidad de identificación de las personas afectadas, en ningún caso se puede encargar de ello a aquel que posteriormente ha de hacer uso de los datos disociados. Y es que aquel que lleva a cabo el proceso de disociación, obviamente conoce los detalles seguidos en el proceso, de tal manera que el eventual encargo de dicho proceso a quien debe tratar después los datos disociados, no tendría sentido. La ACPD concluye, en las resoluciones seguidas frente a los hospitales cedentes, que de los argumentos expuestos se deduce que los hechos imputados se declaran constitutivos de una infracción muy grave prevista en el artículo 44.4.
  20. b)en relación con el artículo 7 ambos de la LOPD, porque la cesión o comunicación de datos de carácter personal por parte del hospital al CEEISCAT se efectuó sin la concurrencia de una habilitación legal que así lo dispusiera y sin haber obtenido tampoco el consentimiento expreso de las personas afectadas. Ahora bien, continúa exponiendo la ACPD, aunque la cesión que fue imputada debe considerarse ilícita hay que tener en cuenta la concurrencia de determinadas circunstancias excepcionales en el presente caso que impiden exigir responsabilidad administrativa al hospital por este hecho. Respecto del principio de culpabilidad de los hospitales cedentes, la ACPD considera lo siguiente: En primer lugar, es necesario remarcar que la cesión de datos de carácter personal al CEEISCAT tenía por objeto satisfacer una estadística de interés de la Generalidad, que se regula por lo establecido en la LEC. A este respecto, el artículo 34 de la LEC establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 "Es obligatorio suministrar la información necesaria para elaborar las estadísticas de interés de la Generalidad." Así pues, existe la obligación de facilitar información referente a una estadística de interés de la Generalidad de Cataluña cuando el órgano que desarrolla dicha actividad estadística, así lo solicita. Esto, sin perjuicio de respetar los principios y garantías establecidos por la normativa sobre protección de datos de carácter personal. En el presente caso el Hospital llevó a cabo la comunicación de datos que es objeto de imputación, para atender la petición que le había efectuado el CEEISCAT, como organismo vinculado funcionalmente al Departamento de Salud (con personalidad jurídica diferenciada de dicho Departamento, pues depende orgánicamente del Instituto Catalán de Oncología) y encargado de una estadística de interés de la Generalidad de Cataluña. Como ya se ha visto, esta legislación estadística no habilita la comunicación de datos que aquí es objeto de imputación. Sin embargo, no se puede obviar aquí la existencia de una obligación legal de facilitar la información necesaria para fines estadísticos (Art. 34 LEC), que en el presente caso la petición de la información que fue objeto de cesión procedía de un organismo vinculado al Departamento de Salud, y que dicho organismo es precisamente el responsable de la vigilancia epidemiológica reforzada del VIH, del SIDA y de las infecciones de transmisión sexual en Cataluña, y a tal efecto mantiene los sistemas de información necesarios para el monitoreo y la evaluación de estos problemas de salud en el ámbito de Cataluña. Así las cosas, es comprensible que el Hospital actuara en la creencia de que dicha cesión o comunicación respetaba la normativa sobre protección de datos de carácter personal, y en concreto, que considerara que existía una norma con rango legal que habilitaba la cesión sin necesidad de obtener el consentimiento de las personas afectadas. En este mismo sentido, hay que añadir también que el Servicio Catalán de la Salud establecía como uno de los objetivos específicos para la compra de servicios a las entidades proveedoras de servicios asistenciales, la colaboración "en el mantenimiento de la base de datos de los pacientes seropositivos atendidos del estudio de cohorte PISCIS", colaboración que constituía un indicador a tener en cuenta en el pago del importe variable del contrato. Las circunstancias que se han expuesto deben llevar a admitir que resulta difícil exigir al Hospital que actuara de forma diferente a como lo hizo. Es por ello que estaríamos ante un caso en el que se puede considerar que el Hospital habría actuado de acuerdo con el principio de confianza legítima, de tal manera que faltaría el requisito de la culpabilidad que siempre debe estar presente en el ejercicio de la potestad sancionadora. En consecuencia, se debe concluir que aunque la comunicación de datos de salud del Hospital al CEEISCAT debe calificarse como ilícita y por tanto constitutiva de la infracción señalada inicialmente, no se puede exigir al Hospital la responsabilidad administrativa correspondiente, según lo expuesto sobre el principio de culpabilidad. Hay que poner de manifiesto el carácter excepcional de la solución que aquí se adopta, que se basa en la concurrencia de unas circunstancias totalmente singulares, y que obviamente no se podrían apreciar nuevamente en un caso que tuviera similitudes con el presente, después de que el Hospital tuviera conocimiento de las consideraciones que aquí se han hecho, concluye la ACPD. Considera la ACPD que la no exigencia de responsabilidad al hospital por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 aplicación del principio de culpabilidad, no significa que dicha conducta no sea constitutiva de infracción, y en consecuencia que se requieran medidas correctoras al respecto. Procede por tanto requerir al Hospital, dice la ACPD, para que cese en la comunicación de datos de carácter personal relativos a la salud de sus pacientes en el marco del proyecto Piscis, salvo que se obtenga previamente el consentimiento expreso de las personas afectadas. No obstante lo anterior, en cuanto al plazo para que el Hospital adopte dicha medida, hay que tener en cuenta aquí el pronunciamiento efectuado por la ACPD en fecha 10/04/2013, al resolver el recurso de reposición que interpuso el CEEISCAT contra la resolución que había puesto fin al procedimiento sancionador núm. PS 14/2013. En la resolución de aquel recurso se otorgó un plazo de dos años para dar cumplimiento a las medidas correctoras, ante el compromiso del Departamento de Salud de implementar un sistema de intercambio de información disociada entre los Hospitales y el CEEISCAT. Es por ello que, en consonancia con lo que allí se decidió, el cumplimiento de la medida que aquí se describe no se puede exigir al Hospital hasta que transcurra el plazo otorgado al CEEISCAT. En consecuencia, para el caso de que en esa fecha el Departamento de Salud no haya implementado un sistema de intercambio de información disociada, el Hospital deberá cesar en la comunicación no consentida de datos de carácter personal relativos a la salud de sus pacientes en el marco del proyecto Piscis. Estas consideraciones realizadas por la Autoridad Catalana de Protección de Datos son de plena aplicación a los hechos controvertidos en el presente procedimiento incoado por la comunicación de datos relativos a la salud de los pacientes del hospital Universitario Son Espases al CEEISCAT. En consonancia con lo resuelto por la ACPD se concluye que los hechos imputados en el presente expediente de Declaración de Infracción, constituyen la infracción muy grave prevista en el artículo 44.4.
  21. b)en relación con el artículo 7.3 de la LOPD porque la cesión o comunicación de datos de carácter personal relativos a la salud de los pacientes del hospital Universitario Son Espases al CEEISCAT no contaba con habilitación legal ni con el consentimiento expreso de los afectados. Por otra parte y al igual que consideró la ACPD respecto de la concurrencia del principio de culpabilidad, y de acuerdo con lo expuesto en la sentencia de la Audiencia Nacional de 27 de febrero de 2008, cabe razonablemente pensar que el hospital tuvo la conciencia de estar actuando con arreglo a la normativa aplicable en materia de protección de datos puesto que la administración organizadora del estudio le ofreció las máximas garantías sobre la acomodación a la ley y pudieron inducir a error al hospital imputado que no consideró necesario incrementar dichas garantías procediendo a la anonimización de los datos más allá de lo que se realizó. En este caso se considera de igual forma, que el Hospital Universitario Son Espases habría actuado de acuerdo con el principio de confianza legítima de forma que faltaría el requisito de la culpabilidad que debe estar presente en el ejercicio de la potestad sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Procede también en este caso requerir al Hospital Universitario Son Espases para que cese en la comunicación de datos de carácter personal relativos a la salud de sus pacientes en el marco del proyecto Piscis, salvo que se obtenga previamente el consentimiento expreso de las personas afectadas. Medida esta supeditada al cumplimiento del compromiso del CEEISCAT de creación de un sistema de intercambio de información disociada en el plazo ya citado de dos años. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad al Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases) por la comisión de la infracción del artículo 11.1 en relación con el artículo 7.3 de la LOPD, tipificada como muy grave en el artículo 44.4.
  22. b)de dicha norma. SEGUNDO: REQUERIR al Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite, en el plazo de un mes desde este acto de notificación, el cese de la comunicación de datos de carácter personal relativos a la salud de sus pacientes en el marco del proyecto Piscis, salvo que se obtenga previamente el consentimiento expreso de las personas afectadas. Sin perjuicio de la articulación de un sistema de información disociada por parte del CEEISCAT. Para la constatación de lo requerido se inicia un expediente de actuaciones previas de investigación con la referencia E/04531/2014. TERCERO: NOTIFICAR la presente resolución al Servicio de Salud de las Islas Baleares (Hospital Universitario Son Espases) y a la AUTORITAT CATALANA DE PROTECCIÓ DE DADES. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.