AAPP-00069-2017

1/12 Procedimiento Nº AP/00069/2017 RESOLUCIÓN: R/00410/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00069/2017, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIO GALLEGO DE SALUD, vista la denuncia presentada, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 30 de junio de 2017, tuvo entrada en esta Agencia un escrito en el que el denunciante declara que con fecha 20 de mayo de 2016, solicitó en el Servicio de Atención al Paciente del Hospital Arquitecto Marcide de Ferrol, copia de todo su Historial médico, no obteniendo respuesta. Con fecha 24 de febrero de 2017 presentó una queja, recibiendo el historial a la semana siguiente. No obstante comprueba que el historial está todo mezclado y faltan muchos documentos y que se encuentra historial médico de otro paciente. Anexa la siguiente documentación: Copia de la solicitud de fecha 20 de mayo de 2016. Copia de la queja de fecha 10 de mayo de 2017. Copia de la documentación clínica perteneciente a otro paciente y consentimiento informado suscrito por el mismo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 19 de septiembre de 2017, en respuesta a la solicitud de información de la Inspección de Datos, se recibe escrito de la Gerencia de Gestión Integrada del Servicio Gallego de Salud, en el que ponen de manifiesto que: Con fecha 20 de mayo de 2016 consta registro de petición de historia realizado por el denunciante, en el que solicita los datos de su historial clínico correspondiente a la atención realizada en atención primaria, en el Centro de Salud de As Pontes. En los registros del departamento correspondiente consta que dicha solicitud quedó resuelta el 13 de junio de 2016. Con fecha 23 de febrero de 2017, consta registro de reclamación presentado por el denunciante reiterando su solicitud y añade la solicitud de su historial clínico correspondiente a atención especializada, haciendo entrega de la historia el 6 de marzo de 2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Con fecha 10 de mayo de 2017 consta registro de nueva reclamación del denunciante, en la que reitera reclamación por la documentación solicitada y entregada en dos plazos, haciendo referencia por primera vez a la copia íntegra de su historia clínica. Dicha copia se remite por correo certificado con fecha 6 de julio de 2017. Con respecto al Informe correspondiente a otro paciente, incluido entre la documentación solicitada por el denunciante con fecha 23 de febrero de 2017, se ha comprobado que dicho paciente solicitó documentación clínica con fecha 16 de febrero de 2017, dicha documentación se le remitió por correo certificado con fecha 6 de marzo de 2017 y por error se traspapeló en el proceso de ensobrado el informe incluido en la documentación entregada al denunciante. Una vez conocido el error y con el fin de subsanarlo, se contactó con el denunciante por escrito con fecha 23 de mayo de 2017 y telefónicamente con fecha 4 de julio de 2017, reclamándole la citada documentación. No obstante hasta la fecha de envío de este escrito no ha procedido a su devolución. TERCERO: Con fecha 30 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO GALLEGO DE SALUD por la presunta infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. h)y 44.3.
2. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el SERVICIO GALLEGO DE SALUD presentó escrito de alegaciones en el que, en síntesis, manifestaba: “…Respecto al informe enviado al denunciante que se corresponde con una tercera persona, reconocemos que efectivamente se ha producido un error al enviar a un destinatario incorrecto una hoja perteneciente a la historia clínica en la que se recoge una anamnesis clínica. Esta copia de informe correspondía a otro usuario cuya solicitud de acceso se estaba tramitando en el mismo momento que la del denunciante y que por error se acabó incluyendo dentro de la documentación enviada a D A.A.A.. Una vez analizado en detalle lo ocurrido, se ha identificado como posible origen del error la necesidad de imprimir a papel informes digitales que están almacenados en el sistema lanus (…) En la Consellería de Sanidade y el Servizo Galego de Saúde estamos especialmente preocupados por la comisión de este error, ya que la Xerencia de Xestión Integrado de Ferrol es un centro especialmente implicado en la gestión de la calidad en general y de la seguridad de la información en particular. Cuenta con una certificación del sistema de gestión de la calidad basada en la norma ISO 9000 y está incluida dentro del sistema de gestión de seguridad de la información certificado según la norma ISO 27001 implantado en la Conselleria de Sanidade — Servizo Galego de Saúde y certificado por AENOR. Tomando como referencia estos dos sistemas de gestión: • En base al sistema de gestión de la calidad de la Xerencia de Xestíón Integrada de Ferrol se registró la incidencia / no conformidad y como acción correctiva se ha modificado el procedimiento con una doble revisión (revisión por pares) de los envíos de documentación clínica, al tiempo que se dotaron de impresoras individuales a cada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 uno de los componentes del servicio para evitar la mezcla de documentos de diferentes solicitudes. Se considera que con ello se minimizarán al extremo los posibles errores en los envíos. • En base al sistema de gestión de seguridad de la información certificado según la norma ISO 27001 se ha abierto también una incidencia de cara a definir y estandarizar en todo el ámbito del sistema sanitario público de Galicia las medidas que se consideren necesarias para minimizar la posibilidad de que situaciones semejantes se repitan en el futuro. (…) Sin restar importancia a lo ocurrido, pedimos sea estimada nuestra solicitud dado lo puntual del hecho, las medidas adoptadas para evitar su repetición y la sensibilidad de esta administración en el tratamiento de los datos de carácter personal y en la garantía de los derechos de los ciudadanos en este ámbito.” QUINTO: Al haberse reconocido la responsabilidad por la entidad denunciada, procede la aplicación de lo dispuesto en el artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva a la Directora de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: El denunciante ha manifestado que el 20 de mayo de 2016 solicitó copia de su historia clínica en el Servicio de Atención al Paciente del Hospital Arquitecto Marcide de Ferrol, no obteniendo respuesta. El 24 de febrero de 2017 presentó una queja, y recibió el historial a la semana siguiente. Expone que el historial estaba mezclado, faltaban muchos documentos y que contiene historial médico de otro paciente. Incluye las copias de la solicitud de 20 de mayo de 2016, de la queja de 10 de mayo de 2017 y de la documentación clínica de otro paciente y consentimiento informado suscrito por el mismo. SEGUNDO: La Gerencia de Gestión Integrada del Servicio Gallego de Salud, a instancias de la Inspección de Datos de esta Agencia ha informado sobre esta denuncia que el 20 de mayo de 2016 el denunciante solicitó su historial clínico de atención primaria en el Centro de Salud de As Pontes. Manifiestan que les consta que se atendió el 13 de junio de 2016. Que el 23 de febrero de 2017, presentó una reclamación reiterando su solicitud y la de su historial clínico de atención especializada, entregándole la historia el 6 de marzo de 2017. El 10 de mayo de 2017 consta una nueva reclamación de la copia íntegra de su historia clínica que se remite por correo certificado el 6 de julio de 2017. Manifiestan que sobre el informe de otro paciente incluido entre la documentación del denunciante, se ha comprobado que dicho paciente solicitó documentación clínica el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 16 de febrero de 2017, que se le remitió el 6 de marzo de 2017 y por error se traspapeló en el proceso de ensobrado el informe incluido en la documentación entregada al denunciante. Manifiestan que conocido el error se contactó con el denunciante reclamándole la documentación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 18 .1 y .2, en relación a los “derechos de acceso a la historia clínica”, lo siguiente: “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. El artículo 17 de la misma ley, dedicado por completo a la conservación de la documentación clínica, establece en su punto primero que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial” y en su apartado 6 determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. Por último, el artículo 19 de la citada Ley 41/2002 indica: “Derechos relacionados con la custodia de la historia clínica. El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. En las alegaciones al acuerdo de inicio, la Consejería de Sanidade de la Xunta de Galicia han reconocido el error cometido al remitir información médica de un paciente a otro paciente y han informado de lo ocurrido. Informan también de que la incidencia se registró y que se implantaron acciones correctivas tales como modificar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 el procedimiento con una doble revisión de los envíos de documentación y dotar de impresoras individuales a cada uno de los componentes del servicio. Por otra parte manifiestan también que han abierto otra incidencia para extender a todo el ámbito del sistema sanitario público de Galicia las medidas necesarias para minimizar la posibilidad de que situaciones semejantes se repitan en el futuro. Consideran que así se reducirán los posibles errores en los envíos. Según queda expuesto, cabe decir que los centros sanitarios están obligados a una custodia activa y diligente de las historias clínicas de sus pacientes y que en la documentación clínica hay que aplicar las medidas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, según establece la Ley 41/2002, de 14 de noviembre, por la que se aprueba la Ley básica, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
4. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
5. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
6. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
7. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
8. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
9. a)Las operaciones y procedimientos técnicos automatizados o no, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
13. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
14. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. Entre estas medidas de nivel alto se encuentra la prevista en el artículo 97.2 del Reglamento de desarrollo de la LOPD que señala: “Gestión de soportes y documentos. 2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.” De los hechos probados en este procedimiento, se deduce que el Servicio Gallego de Salud, en su calidad de responsable del tratamiento de los datos de salud contenidos en las historias clínicas de sus pacientes, debió adoptar las medidas necesarias para impedir cualquier acceso a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que documentación clínica de un paciente fue facilitado a otro paciente, denunciante en este procedimiento. Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El artículo 5.1.
15. g)del Reglamento de la LOPD dispone que se entenderá por “datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” No hay duda de que la entrega de la documentación médica de un paciente a otra persona distinta del propio afectado lleva a la conclusión de que las medidas de seguridad no evitaron el acceso de personas no autorizadas a los datos de carácter personal relacionados con la salud. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En definitiva, el Servicio Gallego de Salud, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para impedir el acceso a la información de carácter personal que contenían los documentos, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. IV El artículo 44.3.
16. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En el presente caso ha quedado acreditado que el Servicio Gallego de Salud carecía de las medidas de seguridad que la Ley exige al responsable del fichero, al permitir el acceso a terceras personas no autorizadas a la documentación clínica de un paciente suyo. De acuerdo con los fundamentos anteriores, se deduce que por parte del SERGAS se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que los datos personales de un paciente fueran facilitados a un tercero no autorizado, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Se observa que por parte del SERGAS se han dado pasos encaminados a corregir el procedimiento de envío de las historias clínicas, implantando las medidas de seguridad necesarias para impedir cualquier acceso no autorizado a la información de carácter personal que contienen las historias clínicas de sus pacientes, para el cumplimiento del principio de seguridad de los datos, consagrado en el artículo 9 de la LOPD. V El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este caso, ese deber de secreto comporta que el SERGAS, responsable de las historias clínicas de los pacientes tratados en el, no puede revelar ni dar a conocer su contenido a terceros, salvo con consentimiento expreso de los afectados (al contener datos de salud especialmente protegidos artículo 7.3 LOPD) o en los casos autorizados por la ley, recordando que el 7.3 señala: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente.” VI La conducta de la denunciada se incardina en el artículo 44.3.
17. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del Servicio Gallego de Salud, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a su paciente, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO GALLEGO DE SALUD ha infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, tipificado como grave en los artículos 44.3.
18. h)y 44.3.
19. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de medidas correctoras toda vez que se ha acreditado que ya han sido adoptadas las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de dichos artículos. TERCERO: NOTIFICAR la presente resolución al SERVICIO GALLEGO DE SALUD. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es