1/13 Procedimiento Nº AP/00058/2016 RESOLUCIÓN: R/00752/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00058/2016, instruido por la Agencia Española de Protección de Datos al SERVICIO RIOJANO DE SALUD, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de noviembre de 2015, tiene entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que denuncia que desde la empresa EFRON CONSULTING, S.L., de la que era trabajadora, y que se encarga de la gestión de la aplicación SELENE para el Servicio Riojano de Salud, se han producido una serie de accesos injustificados a su Historia Clínica desde el usuario denominado “ADMINISTRADOR”, que es utilizado por todas las personas que trabajan en dicha gestión, durante un periodo en que ella se encontraba de baja por enfermedad. Se adjunta CD con el listado de accesos realizados a su historia clínica. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 25 de abril de 2016, se realiza una Inspección en los locales del Servicio Riojano de Salud, poniéndose de manifiesto los siguientes hechos: - Con fecha 20 de mayo de 2014 la Comunidad autónoma de la Rioja suscribió un contrato con la empresa SIEMENS mediante Concurso Público de fecha 24 de abril de 2013, con la finalidad de Servicio de Evolución, Operación y Soporte del Proyecto de Historia Clínica electrónica y sus integraciones, cuadro de mando integral e imagen médica del Servicio Riojano de Salud. - Con fecha 18 de febrero de 2015, se produce la subrogación del citado contrato en favor de la empresa CERNER IBERIA, S.L.U, con las mismas prestaciones y requisitos que SIEMENS. - Con fecha 30 de marzo de 2015, CERNER IBERIA, S.L.U, suscribe un contrato de prestación de servicios para la subcontrata de los servicios de consultoría, en calidad y desarrollo de software, para el Servicio Riojano de Salud, con la empresa EFRON CONSULTING, S.L. - La Consejería de Salud de la Comunidad autónoma de La Rioja, es responsable del fichero denominado HISTORIAS CLÍNICAS, inscrito en el Registro General de Protección de Datos, que se gestiona por medio de la aplicación SELENE. Durante la misma Inspección, el representante de la empresa EFRON CONSULTING, S.L., realizó las siguientes declaraciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 - EFRON cuenta con un total de 16 empleados destacados en el Servicio Riojano de Salud para la gestión de la aplicación sanitaria SELENE, actualmente ubicados físicamente en los locales donde se realiza la presente inspección, a excepción de una trabajadora que durante dos días en semana trabaja en la Fundación Hospital de Calahorra, pero en la fecha en la que se produjeron los accesos que figuran en el Listado mostrado, había dos personas trabajando diariamente, siendo una de ellas la denunciante. - Todos los trabajadores firman un documento de Deber de Confidencialidad y de las obligaciones respecto al tratamiento de los datos de carácter personal a los que tengan acceso en el desempeño de sus funciones. - Todos los trabajadores tienen un usuario y una contraseña nominal para acceder a la aplicación para el desempeño de sus funciones, no obstante todos pueden acceder con el usuario denominado ADMINISTRADOR, ya que todos conocen la contraseña, dicha identificación permite un acceso pleno sin ningún tipo de restricción al Sistema de Información. - Todos los accesos contenidos en el listado mostrado han sido realizados desde la dirección IP ***IP.1, excepto uno que ha sido realizado desde la dirección IP ***IP.2. La dirección IP ***IP.1, es una dirección fija, asignada a un ordenador ubicado en la Fundación Hospital de Calahorra, el cual estaba asignado a la usuaria B.B.B.. - Con respecto al acceso realizado el día 9 de julio de 2014 desde la dirección IP ***IP.2, el representante de CERNER manifiesta que la acción descrita en el listado hace referencia a una selección que no implica el acceso a datos clínicos. Se adjunta al Acta de inspección, cuadro de asignaciones de direcciones IP del Servicio Riojano de Salud, del que se desprende que la dirección IP ***IP.1, está asignada a la Fundación Hospital de Calahorra. Con fecha 18 de mayo de 2016, se recibe en esta Agencia escrito del Servicio Riojano de Salud, como continuación a la Inspección realizada con fecha 25 de abril de 2016, en el que manifiestan que: - Con fecha 3 de mayo de 2016, a requerimiento de los Responsables de Seguridad del Fichero de Historias Clínicas del Servicio Riojano de Salud, se personan los directores de la empresa EFRON CONSULTING y la trabajadora que, según consta en el escrito presentado por la propia empresa, es la trabajadora que desarrollaba su trabajo en la fecha en la que se produjeron los hechos denunciados, poniéndose de manifiesto que: - La identidad de la trabajadora es Dª B.B.B., la cual admite ser la trabajadora que actualmente desarrolla su trabajo en el centro denominado Fundación Hospital de Calahorra, en el equipo identificado con la dirección IP: ***IP.1. Este puesto de trabajo era utilizado indistintamente por las dos trabajadoras, ella y la denunciante. - La mencionada trabajadora reconoce que en varias ocasiones, a lo largo del periodo de baja laboral de la denunciante, accedió a la Historia clínica de la Atención Primaria de la misma, manifestando que dada su relación de parentesco (hermanas), dichos accesos fueron solicitados por la denunciante para comprobación de horarios de citas. - Asimismo, manifiesta que en determinadas ocasiones, buscando información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 sobre su propia historia clínica el sistema ofrece a continuación la de su hermana y por error selecciona la de su hermana en lugar de la suya. - Finalmente expone que tras el despido de su hermana, ésta le solicitó una relación de los accesos a su historia clínica, a lo cual se negó. Con fecha 24 de junio de 2016, el Servicio Riojano de Salud remite un correo electrónico donde manifiesta tener constancia de la subcontratación de la empresa EFRON CONSULTING, S.L., que está prevista en el Pliego de condiciones que reguló la contratación con la entidad contratada en su día. TERCERO: Con fecha 18 de noviembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO RIOJANO DE SALUD por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el SERVICIO RIOJANO DE SALUD presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “… Del acuerdo de inicio no se desprende claramente cuáles son los hechos imputados: es decir, en qué consiste esta falta de debidas condiciones de seguridad. Con efectos meramente especulativos, y en estrictos términos de hipótesis, tales hechos pueden consistir en los accesos presuntamente indebidos que una trabajadora (digamos denunciada) hace a la historia clínica de otra persona (denunciante), que en este caso es también trabajadora de la misma empresa y son hermanas entre sí. Según consta ya en declaraciones de la empresa, ambas personas compartían el mismo equipo informático, la misma IP desde la que se han hecho los accesos. No se distingue qué accesos son atribuibles a la denunciante y a la denunciada. Y este dato es esencial en la posición de defensa, ya que entraría en juego la prescripción de la infracción por el transcurso de dos años desde la fecha de su comisión hasta la notificación del acuerdo de inicio. Sexta. Por otra parte, tampoco se ha tenido en cuenta la relación de parentesco entre ambas partes, pues si el acceso cuenta con el consentimiento del afectado, cesa toda protección y, por tanto, no podríamos hablar de comisión de Infracción.” QUINTO: Con fecha 15 de diciembre de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Doña A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el SERVICIO RIOJANO DE SALUD, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00096/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00058/2016 presentadas por el SERVICIO RIOJANO DE SALUD. SEXTO: Con fecha 8 de febrero de 2017, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el SERVICIO RIOJANO DE SALUD ha infringido lo dispuesto en el artículo 9.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- h)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la mencionada Ley. SÉPTIMO: Con fecha de puesta en el Servicio de Correos de 2 de marzo de 2017, de entrada en la Agencia el día 8, el SERVICIO RIOJANO DE SALUD realizó alegaciones frente a la citada propuesta de resolución en la que comunica que ya han implementado las medidas de seguridad en el tratamiento de los datos personales, en el sentido siguiente: “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y la hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados… El Hospital San Pedro de Logroño tiene incorporadas tales medidas de seguridad, como se constata en la entrega a la denunciante de los accesos a su historia clínica.” Los trabajadores contratados de Efron Consulting, S.L. tienen que cumplir las medidas de seguridad que impone el Servicio Riojano de Salud. El caso denunciado es el de una hermana que accede a la historia clínica de su hermana con el consentimiento de la afectada. Se van a implementar las medidas de seguridad siguientes: - Revisión de las medidas de seguridad Requerimientos a los encargados del tratamiento Concienciación a los usuarios del sistema. HECHOS PROBADOS PRIMERO: La Consejería de Salud de la Comunidad Autónoma de La Rioja, es la responsable del fichero denominado HISTORIAS CLÍNICAS, inscrito en el Registro General de Protección de Datos. Este fichero se gestiona por medio de la aplicación SELENE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 SEGUNDO: Desde el 30 de marzo de 2015, la entidad EFRON CONSULTING, S.L. gestiona la aplicación sanitaria SELENE tras la suscripción del contrato de prestación de servicios con la entidad CERNER IBERIA, S.L.U, en virtud del cual se subcontratan los servicios de consultoría, en calidad y desarrollo de software, para el Servicio Riojano de Salud. El Servicio Riojano ha manifestado tener constancia de la subcontratación de la entidad EFRON CONSULTING, S.L. y que está prevista en el Pliego de condiciones que reguló la contratación con la entidad contratada en su día. TERCERO: Durante la visita de la Inspección de Datos al Servicio Riojano de Salud en abril de 2016, los representantes de la entidad EFRON CONSULTING, S.L. manifestaron que cuentan con un total de 16 empleados destacados en el Servicio Riojano de Salud para la gestión de la aplicación sanitaria SELENE, ubicados en los locales donde se realiza la inspección, a excepción de una trabajadora que durante dos días en semana trabaja en la Fundación Hospital de Calahorra. Que todos los trabajadores firman un documento de deber de confidencialidad y de las obligaciones respecto al tratamiento de los datos de carácter personal a los que tengan acceso en el desempeño de sus funciones. CUARTO: Los representantes de la entidad EFRON CONSULTING, S.L., manifestaron también que todos los trabajadores tienen un usuario y una contraseña nominal para acceder a la aplicación para el desempeño de sus funciones, no obstante, todos los trabajadores pueden acceder con el usuario denominado ADMINISTRADOR, ya que todos conocen la contraseña, dicha identificación permite un acceso pleno sin ningún tipo de restricción al Sistema de Información. QUINTO: Durante la citada inspección se realizaron comprobaciones de los accesos a la historia clínica de una de sus empleadas mientras se encontraba de baja laboral. Como continuación a la inspección, el Servicio Riojano de Salud presentó un escrito en mayo de 2016 en el que se expone que los responsables de seguridad del fichero Historias Clínicas del Servicio Riojano de Salud, mantuvieron una reunión con responsables de la entidad EFRON CONSULTING, S.L. y con la trabajadora que prestaba sus servicios cuando se produjeron los accesos a la historia clínica denunciados. La mencionada trabajadora reconoce que en varias ocasiones, a lo largo del periodo de baja laboral de la denunciante, accedió a la Historia clínica de la Atención Primaria de la misma, manifestando que dichos accesos fueron solicitados por la denunciante para comprobación de horarios de citas. También manifiesta que en ocasiones, buscando información sobre su propia historia clínica el sistema ofrece a continuación la de la denunciante, su hermana, y por error selecciona la de esta en lugar de la suya. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. Su artículo 7, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último, en su artículo 16 determina cuales son los “Usos de la historia clínica”: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. De los hechos probados en este procedimiento, se deduce que el Servicio Riojano de Salud, en su calidad de responsable del tratamiento de los datos de salud contenidos en las historias clínicas de sus pacientes, debió adoptar las medidas necesarias para velar por que el encargado del tratamiento con quien contrató la prestación de un servicio que comportaba un tratamiento de datos personales, reuniera las garantías para el cumplimiento de lo dispuesto en el Reglamento de desarrollo de la LOPD. Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. La entidad EFRON CONSULTING, S.L., como encargado del tratamiento del fichero de pacientes del Servicio Riojano de Salud, durante la inspección llevada a cabo en abril de 2016, ha reconocido que dispone de un usuario que utilizan todos sus empleados que gestionan la aplicación sanitaria SELENE, que gestiona el fichero de historias clínicas del Servicio Riojano de Salud, sin que disponga de un mecanismo que permita la identificación del usuario de forma inequívoca y que permite un acceso pleno y sin restricciones al Sistema de información. Estos hechos suponen una infracción de lo previsto en los artículos 91 y 93 del Reglamento de la LOPD que establecen: El artículo 91: “Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. El artículo 93: “Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” El Servicio Riojano de Salud manifiesta, en sus alegaciones al acuerdo de inicio del presente procedimiento, que: “Del acuerdo de inicio no se desprende claramente cuáles son los hechos imputados: es decir, en qué consiste esta falta de debidas condiciones de seguridad. Con efectos meramente especulativos, y en estrictos términos de hipótesis, tales hechos pueden consistir en los accesos presuntamente indebidos que una trabajadora (digamos denunciada) hace a la historia clínica de otra persona (denunciante), que en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 este caso es también trabajadora de la misma empresa y son hermanas entre sí.” Como ya se expuso en el acuerdo de inicio, la concreta medida de seguridad que se considera infringida en esta ocasión es la prevista en el artículo 20.2 del Reglamento de desarrollo de la LOPD, que establece que: “Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento.” En la inspección realizada por esta Agencia en el Servicio Riojano de Salud se constató que la entidad EFRON CONSULTING, S.L., es quien gestiona el fichero de las historias clínicas de ese Servicio de Salud por medio de la aplicación sanitaria SELENE. En esa inspección se constató también que, todos los trabajadores dedicados a la gestión de esta aplicación, tienen un usuario y una contraseña nominal para acceder a ella, no obstante todos pueden acceder con el usuario denominado ADMINISTRADOR, ya que todos conocen la contraseña, dicha identificación permite un acceso pleno sin ningún tipo de restricción al Sistema de Información. Estos hechos suponen un incumplimiento de lo establecido en el artículo 91 del RLOPD relativo al control de acceso, que dispone una limitación de los recursos disponibles para cada usuario y un control sobre ello por parte del responsable del fichero. Este será también quien establezca los criterios para conceder, alterar o anular el acceso autorizado sobre los recursos. Dispone también que en caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Por otra parte, ese acceso pleno y sin restricción al sistema de todos los empleados de la entidad encargada del tratamiento con un único usuario, supone un incumplimiento a su vez de lo previsto en el artículo 93 del RLOPD, que exige la correcta identificación y autenticación de los usuarios por parte del responsable del fichero. Una identificación inequívoca y personalizada de todo usuario que acceda al sistema de información y la verificación de que está autorizado. Estos preceptos inciden en las medidas de seguridad que se vulneraron en esta ocasión, unidos a la obligación del responsable del fichero de velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en el Reglamento de protección de datos, toda vez que se ha constatado que se utiliza un usuario común para todos los empleados encargados de gestionar la aplicación informática sin que pueda identificarse de forma individualizada los recursos a los que accede cada uno de ellos y si están autorizados a ello o no lo están. En la documentación unida al acta de inspección de 25 de abril de 2016, figura el documento de seguridad del Servicio Riojano de Salud y en un escrito posterior se identifica a los usuarios que efectuaron los accesos objeto de la citada inspección, con indicación de que uno de ellos se encontraba de baja en dichas fechas y, como finalidad, exponen que el usuario que manifiesta haber realizado los accesos dice que lo hizo a petición de la propia denunciante o bien accedió por error al ser hermanas. En cualquier caso lo cierto es que los accesos se realizaron con el usuario ADMINISTRADOR que no permite una identificación inequívoca y personalizada de los accesos realizados a la historia clínica de la denunciante, ni si esos accesos estaban autorizados para ese usuario o no. A este respecto la Audiencia Nacional, en sus sentencias de 13 de junio de 2002 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 y de 7 de febrero de 2003, entre otras, ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En definitiva, el Servicio Riojano de Salud, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para velar por que el encargado del tratamiento con quien contrató la prestación de un servicio que comportaba un tratamiento de datos personales, reuniera las garantías para el cumplimiento de lo dispuesto en el Reglamento de desarrollo de la LOPD, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. IV El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Servicio Riojano de Salud, no adoptó las medidas necesarias que garantizasen la seguridad de los datos de carácter personal y evitasen su alteración, pérdida, tratamiento o acceso no autorizado, al no haber impedido el acceso de terceras personas no autorizadas a los datos personales de la denunciante con información relativa a su salud. Si bien el Servicio Riojano de Salud tiene medidas de seguridad adecuadas, permite que todos los trabajadores dedicados a la gestión de la aplicación SELENE, puedan acceder con el usuario denominado ADMINISTRADOR, ya que todos conocen la contraseña, lo que permite un acceso pleno sin ningún tipo de restricción al Sistema de Información. Esta es la restricción que debe realizarse, ya que no es posible que se pueda acceder a cualquier información de salud sin limitaciones al conocer la contraseña del usuario mencionado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que SERVICIO RIOJANO DE SALUD ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: REQUERIR al SERVICIO RIOJANO DE SALUD, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD, para lo que se abre expediente de actuaciones previas E/01706/2017. En concreto, deberá impedirse que cualquier trabajador de la aplicación SELENE pueda acceder a toda la información con el usuario ADMINISTRADOR y con la contraseña conocida por todos ellos. TERCERO: NOTIFICAR la presente resolución al SERVICIO RIOJANO DE SALUD. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es