AAPP-00070-2017

1/14 Procedimiento Nº AP/00070/2017 RESOLUCIÓN: R/00767/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00070/2017, instruido por la Agencia Española de Protección de Datos al SERVICIO ARAGONÉS DE SALUD - GERENCIA SECTOR BARBASTRO - HOSPITAL DE BARBASTRO, vista la denuncia presentada por AJUNTAMENT DE LLEIDA GUARDIA URBANA - UNITAT D'INVESTIGACIO I POLICIA ADMINISTRATIVA, y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de agosto de 2017 tiene entrada en esta Agencia un escrito del AJUNTAMENT DE LLEIDA - GUARDIA URBANA - UNITAT D'INVESTIGACIO I POLICIA ADMINISTRATIVA en el que denuncia lo siguiente: Con fecha 4 de agosto de 2017 Agentes de la Guardia Urbana fueron requeridos por una ciudadana, que manifiesta que en el Campo de Deportes de la calle (C/...1) se encuentran papeles con datos personales. Se comprueba que se trata de documentación correspondiente al Hospital de Barbastro (Huesca), entre la que se encuentran listados de ocupación de camas, informes de maternidad y valoraciones socio sanitarias, entre otros. Puestos en contacto con la Directora del citado Hospital, ésta manifiesta desconocer los motivos por los que dicha documentación se encuentra en la vía pública y que iniciarían una investigación para averiguarlo. Se anexa copia de varios documentos. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/04914/2017), teniendo conocimiento de los siguientes extremos: Con fecha 28 de septiembre de 2017 se recibe escrito del Servicio Aragonés de Salud, Gerencia Sector Barbastro, en el que manifiesta que: a. Esa Dirección desconoce las razones por las que la citada documentación se encontraba depositada en la vía pública. b. Esa Dirección no tiene establecido un procedimiento específico para la custodia y destrucción de documentación. No obstante, en cuanto a la custodia de documentación sanitaria, ese Hospital oferta a todos los profesionales sanitarios y no sanitarios el acceso a la formación específica en materia de protección de datos, mediante cursos de periodicidad anual o bianual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 c. En cuanto a la destrucción, la documentación se custodia durante cinco años con base en la Ley 41/2002, de 14 de noviembre. d. No es posible aportar el Documento de Seguridad. e. En cuanto a la información comunicada a los trabajadores en esta materia, existe una Comisión de Historias Clínicas del Hospital de Barbastro donde se trabaja para garantizar que el tratamiento y custodia de la documentación por parte de todo el personal se realice dentro de la normativa vigente, para lo cual se ha elaborado un Manual de acceso a la Historia clínica. Así mismo, todos los empleados firman un documento de conformidad al cumplimiento de las obligaciones en relación al acceso a datos personales. f. Se adjunta copia de la siguiente documentación: i. Normas de acceso a Historia clínica. ii. Normas de uso de los Sistemas Informáticos, que contiene el Manual de Acogida del Hospital de Barbastro. iii. Documento de Confidencialidad suscrito por los empleados. TERCERO: De acuerdo con lo dispuesto en el artículo 126 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RLOPD), al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, procede la apertura del presente procedimiento de infracción de las Administraciones públicas. Dichos indicios consisten en la aparición de documentación con datos de carácter personal, que han estado accesibles a terceros, lo que puede suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, evitando su sustracción, pérdida o acceso indebido y, así mismo, una vulneración del deber de secreto profesional respecto a datos de carácter personal, hechos que motivan el inicio del presente procedimiento de infracción de las Administraciones públicas. CUARTO: Con fecha 4 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO ARAGONÉS DE SALUD - GERENCIA SECTOR BARBASTRO - HOSPITAL DE BARBASTRO por la presunta infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), infracciones tipificadas como graves en los artículos 44.3.

1. h)y 44.3.d), respectivamente, de dicha norma. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 15 de diciembre de 2017, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 SERVICIO ARAGONÉS DE SALUD presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. El responsable del fichero “Historia Clínica Digital Única de Aragón” es la Dirección Gerencia del SERVICIO ARAGONÉS DE SALUD. 2. Con carácter adicional a las medidas expuestas por la Gerencia del Sector de Barbastro relativas a la información comunicada a los trabajadores en relación con el tratamiento y custodia de la documentación, se hace referencia a lo siguiente: a. Difusión, con fecha 20 de mayo de 2010, a todos los profesionales del Servicio Aragonés de Salud, mediante e-mailing masivo, del documento “Normas de Uso de los sistemas de información del Servicio Aragonés de Salud”. En su contenido se hace referencia al deber de secreto, a la gestión de soportes, al control de accesos físicos y lógicos, a la comunicación interpersonal y al procedimiento de gestión de incidencias, entre otros. b. Con fecha 6 de febrero de 2017, se remite mail donde se adjunta Carta del Director Gerente del SERVICIO ARAGONÉS DE SALUD presentando la web de Seguridad de la Información del mismo, así como el “Decálogo de Seguridad de la Información del Servicio Aragonés de Salud”. 3. El SERVICIO ARAGONÉS DE SALUD posee de forma centralizada un registro de incidencias de seguridad, contenido en una aplicación de acceso interno, http://lopd.salud.aragon.local. Adjunta el Documento de Seguridad que fue solicitado inicialmente a la Gerencia del Sector de Barbastro. SEXTO: Con fecha 9 de enero de 2017, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/04914/2017, y dándose por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio presentadas por el SERVICIO ARAGONÉS DE SALUD. SÉPTIMO: Con fecha 20 de febrero de 2018 el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el SERVICIO ARAGONÉS DE SALUD GERENCIA SECTOR BARBASTRO - HOSPITAL DE BARBASTRO ha infringido lo dispuesto en los artículos 9.1, en relación con los artículos 92.4 y 114 del Reglamento de Desarrollo de la LOPD, y 10 de la LOPD, infracciones tipificadas como graves en su artículo 44.3, letras
2. h)y d), así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los mencionados artículos 9.1 y 10 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 OCTAVO: Habiendo transcurrido el plazo de diez días sin que la entidad denunciada haya formulado alegaciones a la citada propuesta de resolución, se procede a dictar resolución. HECHOS PROBADOS PRIMERO: Con fecha 4 de agosto de 2017, agentes de la Guardia Urbana fueron requeridos por una ciudadana que manifiesta que en el Campo de Deportes de la calle (C/...1) se encuentran papeles con datos personales. Entre otros, los agentes hallan listados de ocupación de camas, informes de maternidad y valoraciones socio sanitarias. SEGUNDO: La documentación corresponde al Hospital de Barbastro (Huesca) y forma parte del fichero “Historia Clínica Digital Única de Aragón”. TERCERO: El responsable del fichero “Historia Clínica Digital Única de Aragón”, único en todo el organismo, es la Dirección Gerencia del SERVICIO ARAGONÉS DE SALUD. Dispone del Documento de Seguridad y de un registro de incidencias de seguridad. Así mismo, en el Hospital de Barbastro existe una Comisión de Historias Clínicas, donde se trabaja para garantizar que el tratamiento y custodia de la documentación por parte de todo el personal se realice dentro de la normativa vigente, para lo cual se ha elaborado un Manual de acceso a la Historia clínica. Adicionalmente, todos los empleados firman un documento de conformidad al cumplimiento de las obligaciones en relación al acceso a datos personales. CUARTO: El SERVICIO ARAGONÉS DE SALUD - GERENCIA SECTOR BARBASTRO desconoce las razones por las que la citada documentación se encontraba depositada en la vía pública. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 17, sobre la conservación de la documentación clínica, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 “1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. 2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. 3. Los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes. 4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen. 6: Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” III El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 establece que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. Atendido que el presente procedimiento afecta a datos de salud, ha de acudirse también a lo previsto en cuanto a “Datos especialmente protegidos” en el artículo 7 de la LOPD, precepto que establece un régimen específicamente protector para aquellos datos personales que proporcionan una información de esferas más íntimas y privadas del individuo y al ejercicio de los derechos fundamentales consagrados por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Constitución. En lo que nos interesa, los apartados 3 y 6 del artículo 7 de la LOPD establecen lo siguiente: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” “6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. “ Asimismo, el artículo 8 de la LOPD, respecto de los “Datos relativos a la salud”, establece que: “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” Por su parte, el artículo 5.1.
4. g)del RLOPD define como “
5. g)Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” IV El Titulo VII sobre “Infracciones y sanciones”, en el artículo 43.1 de la LOPD establece que “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3.
6. d)de la LOPD define como responsable del fichero o tratamiento a la: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente supuesto está acreditado que el SERVICIO ARAGONÉS DE SALUD es responsable del fichero “Historia Clínica Digital Única de Aragón”, toda vez que decide sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 V El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46/CE y, en su artículo 9, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El artículo 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros, el artículo 3.
7. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte la letra
8. c)del mismo artículo permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Sintetizando las previsiones legales puede afirmarse que:
9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que RLOPD prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2.ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 El Reglamento citado distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Entre las medidas de seguridad de nivel básico, el Reglamento expone en su artículo 88, respecto del documento de seguridad, que: “1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información”. En este caso, el SERVICIO ARAGONÉS DE SALUD ha aportado el Documento de Seguridad junto con su escrito de alegaciones. Así mismo, el artículo 92 del Reglamento establece, relación con la gestión de soportes y documentos, lo siguiente: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Así mismo, habida cuenta de que, en el presente caso, los datos de carácter personal abandonados en la vía pública eran referidos a la salud, resultan de aplicación las medidas de seguridad de nivel alto, en virtud del artículo 81.3.
13. a)del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Reglamento, que dispone: “Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:
14. a)Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual”. Entre las medidas de seguridad de nivel alto, el Reglamento expone en su artículo 114, respecto al traslado de documentación, que: “Siempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado”. El SERVICIO ARAGONÉS DE SALUD debió, por ello, adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información que contenían los documentos encontrados. Tales medidas no fueron adoptadas totalmente en el presente caso. Prueba de ello es el hecho de que la documentación fuera encontrada por Agentes de la Guardia Urbana, ante el requerimiento de una ciudadana, en el Campo de Deportes de la calle (C/...1). Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. En el presente caso, y teniendo en cuenta la documentación encontrada por los agentes denunciantes, ha quedado acreditado que el SERVICIO ARAGONÉS DE SALUD no adoptó las medidas de índole técnica y organizativa necesarias que garantizasen la seguridad de los datos de carácter personal de sus ficheros, de manera que se evitase el acceso no autorizado a los datos de los mismos. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 VI El artículo 44.3.
15. h)de la LOPD considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” Dado que ha existido una vulneración en las medidas de seguridad del SERVICIO ARAGONÉS DE SALUD, se considera que ha incurrido en la infracción grave descrita. VII El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el caso que nos ocupa, el SERVICIO ARAGONÉS DE SALUD es responsable del fichero en el que constan los datos personales, así como de la custodia de la documentación relativa a los mismos y que apareció en el ya referido campo de deportes. Atendiendo a las medidas de seguridad adoptadas por dicha entidad, se comprueba la existencia de un incumplimiento del deber de secreto, produciéndose una ausencia de confidencialidad, por lo que se considera que se ha cometido una infracción del transcrito artículo 10 de la LOPD. VIII El artículo 44.3.
16. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, por parte del SERVICIO ARAGONÉS DE SALUD se ha producido una vulneración del deber de secreto que procede calificar como infracción grave. IX El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO ARAGONÉS DE SALUD ha infringido lo dispuesto en los artículos 9.1, en relación con los artículos 92.4 y 114 del Reglamento de Desarrollo de la LOPD, y 10 de la LOPD, infracciones tipificadas como graves en el artículo 44.3, letras
17. h)y d), de la citada Ley Orgánica. SEGUNDO: Debido a la naturaleza de las infracciones, al hecho de que éstas constituyen un hecho puntual y a las medidas de seguridad existentes, cuya implantación ha acreditado la denunciada, no se insta por parte de esta Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución al SERVICIO ARAGONÉS DE SALUD y al superior jerárquico DEPARTAMENTO DE SANIDAD DEL GOBIERNO DE ARAGÓN. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es