1/21 Expediente N.º: EXP202318416 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de noviembre de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra CSF UROS ASSOCIATS, S.L.P. con NIF B65211955 (en adelante, CSF UROS), IDCQ HOSPITALES Y SANIDAD, S.L.U. con NIF B87324844 (en adelante, CENTRO MEDICO TEKNON) y DKV SEGUROS Y REASEGUROS, S.A.E., con NIF A50004209 (en adelante, DKV). Los motivos en que basa la reclamación son los siguientes: En fecha 07/02/2022 la parte reclamante contrató con DKV una póliza de salud. Posteriormente, DKV le envía las siguientes comunicaciones: - carta de fecha 21/11/2022 referente a una supuesta solicitud de autorización para hospitalización general y estancia en planta. En la misma se señala que estudiada la documentación por DKV se comprueba que la patología que padece es previa a la contratación de su póliza ya que según el artículo 5 las coberturas excluidas: “Para cada asegurado, las patologías (enfermedades o lesiones, sobrevenidas o congénitas) y condiciones de salud, como dolores o síntomas, de origen anterior a la fecha de entrada en vigor de la póliza o de su inclusión en ella, de las que, siendo conocidas, no se hubiese informado a la compañía en el cuestionario de salud.[…] Por esta razón, sentimos comunicarle que, en esta ocasión, no podemos aprobar su petición.” - carta de fecha 14/11/2022 referente una supuesta solicitud de autorización para (…). - carta de fecha 16/11/2022 remitida por DKV referente a una supuesta solicitud de autorización para (…). En fecha 13/12/2022 DKV remitió a la parte reclamante una notificación por la cual informaban de la rescisión unilateral de dicha póliza de salud motivada por el conocimiento de sus antecedentes médicos, que no habían sido comunicados con anterioridad a la suscripción de la póliza. La parte reclamante requirió a DKV, el 31/03/2023, que le facilitara copia de las autorizaciones a las que hacían referencia en las cartas enviadas, el origen de las solicitudes de las autorizaciones y copia de los antecedes médicos a los que habían accedido, ya que él no había solicitado esas autorizaciones ni había dado acceso a DKV a los antecedes médicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/21 DKV, el 11/05/2023, dio contestación al requerimiento del reclamante, vía correo electrónico, adjuntando la documentación solicitada, además de informarle de que al firmar la solicitud de seguro, el tomador autoriza a la compañía a acceder a la información de salud con el fin, entre otros, de comprobar aquellos datos que sean necesarios sobre su estado de salud incluidos en los informes médicos proporcionados por los profesionales y centros sanitarios que le hayan atendido. Asimismo, los asegurados autorizan a los profesionales sanitarios a proporcionar a DKV las informaciones necesarias para la gestión del contrato de seguro. El reclamante afirma no debió solicitarse autorización a DKV para esas pruebas, ya que participaba en un estudio clínico que cubría sus gastos sanitarios a través de otra empresa, SERVICIOS INTEGRALES ENDOSCOPIA, y que el CENTRO MÉDICO TEKNON conocía este hecho. Considera que se ha podido vulnerar el principio de confidencialidad al haberse accedido a sus datos de salud, así como una posible suplantación de su identidad. Junto a la reclamación se aporta: - Carta de 21 de noviembre de 2022 de DKV Seguros dirigida al reclamante como respuesta a una solicitud de autorización para Hospitalización General/estancias en planta en la que le responden que estudiada la documentación se comprueba que la patología que padece es previa a la contratación de su póliza. - Carta certificada de 13 de diciembre de 2022 de DKV al reclamante comunicando la rescisión de su póliza por una declaración de salud no fidedigna. - Carta de 14 de diciembre de 2022 de DKV dirigida al reclamante denegando solicitud de autorización para (...). - Carta de 16 de diciembre de 2022 de DKV dirigida al reclamante denegando solicitud de autorización para (...). - Certificado de contenido del requerimiento a DKV, de fecha 31/03/2023, de la copia de la solicitud de las diferentes autorizaciones realizadas y de los datos del centro médico, instituto o facultativo origen de las solicitudes de autorización así como el medio empleado para hacerles llegar la solicitud, así como para que informen y faciliten los datos y antecedentes médicos a los han accedido o tenido acceso facilitando en todo caso los datos del centro médico, instituto o facultativo origen de la solicitud de autorización así como el medio empleado para hacerles llegar la solicitud. Correo electrónico de 11 de mayo de 2023 de DKV contestando a la reclamación remitida en nombre de la parte reclamante a sus representantes adjuntando solicitud de Centro médico Teknon a DKV, informe de Alta de Urgencias de Teknon del reclamante por ingreso en hospitalización, informe quirúrgico de Teknon sobre el reclamante, solicitud de autorización de UROS a DKV Seguros del 12 de diciembre de 2022, para la realización de la intervención quirúrgica. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/21 - Copia de (...) sobre el acto de conciliación terminada sin avenencia entre la parte reclamante y CSF UROS y IDCQ Hospitales y Sanidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a DKV, CSF UROS y CENTRO MEDICO TEKNON, para que procediesen a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Los traslados, que se practicaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidos en fecha 8/02/2024 por DKV,12/02/2024 por CSF UROS y 09/02/204, por CENTRO MEDICO TEKNON, como consta en los acuses de recibo que obran en el expediente. Con fecha 07/03/2024 se recibe en esta Agencia escrito de respuesta del CENTRO MEDICO TEKNON indicando, en síntesis, lo siguiente: - el interesado acudió al servicio de Urgencias del Hospital (…) siendo la indicación médica el ingreso en área de hospitalización considerando su estado de salud. Para la cobertura de dicha atención hospitalaria, el interesado comunica en la admisión del centro que pertenece a DKV, por lo que el Hospital informa a la aseguradora y recaba la autorización para su hospitalización, enviándoles únicamente la información necesaria para que la aseguradora pueda conocer el caso y autorizar el ingreso. También explica que es el paciente el que entrega la tarjeta de su aseguradora, lo cual implica que sea el hospital el que se encargue e intermedie con la compañía de salud para obtener la autorización de ésta para la cobertura de los gastos que se generen por los servicios sanitarios que se le van a prestar en el Hospital. - Manifiesta el CENTRO MÉDICO TEKNON que, el día 22 de noviembre de 2022, recibe la denegación de la autorización por preexistencias no declaradas, lo cual se procede a comunicar al paciente y al médico responsable. Realizadas las investigaciones oportunas, se ha comprobado que se envió a DKV, los datos de carácter personal necesarios para la gestión del servicio de asistencia sanitaria, sobre la base legal de la Ley 50/1980 del Contrato de Seguro y, de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras. En ese sentido, sostiene el reclamado, que cumple con informar diligentemente la comunicación de datos que realiza a las aseguradoras en el apartado ¿A qué destinatarios se comunicarán sus datos? de su política de privacidad detallada en https://www.quironsalud.es/es/politica-proteccion-datos y que es de conocimiento de todos sus pacientes en el cual se indica lo siguiente: (…)
- b)Dado que el paciente puede disponer de un contrato de seguro en virtud del cual sea un tercero (por ejemplo, entidades aseguradoras, mutuas, administraciones públicas, incluso las de un tercero en el caso de seguros de responsabilidad civil) el obligado al pago de los servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/21 sanitarios procurados por el centro sanitario, siempre y cuando así lo haga saber el paciente, podremos comunicar sus datos a dichas entidades, con el objeto de gestionar, validar, verificar y controlar el pago de los servicios asistenciales prestados sobre la legitimación de la gestión de los sistemas y servicios de asistencia sanitaria y de la Ley 50/1980 del Contrato de Seguro.(…). - Explica el CENTRO MÉDICO TEKNON que, dado que el paciente puede disponer de un contrato de seguro en virtud del cual sea un tercero (por ejemplo, entidades aseguradoras, mutuas, administraciones públicas, incluso las de un tercero en el caso de seguros de responsabilidad civil), el obligado al pago de los servicios sanitarios procurados por el centro sanitario, siempre y cuando así lo haga saber el paciente, pueden comunicar sus datos a dichas entidades, con el objeto de gestionar, validar, verificar y controlar el pago de los servicios asistenciales prestados sobre la legitimación de la gestión de los sistemas y servicios de asistencia sanitaria y de la Ley 50/1980 del Contrato de Seguro. Por ello, sostienen que no habrían incurrido en ninguna incidencia, sino que se procedió a comunicar los datos relacionados con la cobertura de la asistencia sanitaria porque el interesado comunicó que utilizaría su póliza de seguros. Con fecha 9/03/2024, se recibe escrito de respuesta a la solicitud de información de DKV en el que se recogía, resumidamente, lo siguiente: - En primer lugar, el tomador de la aseguradora tenía suscrito una póliza de salud con DKV, la cual había sido debidamente firmada por él y en la que se informaba de sobre la autorización a poder solicitar datos médicos concernientes a patologías declaradas o en el curso de la gestión de una prestación asistencial, prueba ambulatoria, hospitalización, etc. - Antes de la contratación se le informó de los posibles motivos de resolución del contrato, qué condiciones no estarían siendo aseguradas, se le recuerda sus obligaciones previas a la contratación y se le sometió al debido cuestionario de declaración de salud donde, a priori, no manifestó ninguna patología previa. También se le mostró la parte de la información de Solicitud de Póliza donde se recuerda que la compañía se acoge al derecho de solicitar informes médicos previos para garantizar una adecuada gestión del riesgo de valoración médica que exige la legislación vigente en el sector asegurador, en especial, tanto la Ley de Contrato de Seguro como la Ley 20/2015 de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras. - DKV manifiesta que, en el curso de la gestión de las autorizaciones para determinar si procede la asistencia para posteriormente realizar la intervención al asegurado, es necesaria la información que les facilitan desde el CENTRO MÉDICO TEKNON Antes de proceder a ingresar y atender a un paciente que se les identifica como asegurado de DKV se necesita la aprobación por la aseguradora, que es a quien se facturará. Con carácter previo, se evalúan los antecedentes previos que puedan interferir o coadyuvar a ese episodio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/21 asistencial y que puede requerir de más o menos tratamientos que se facturarán posteriormente. En este caso, DKV afirma que, en el curso de la revisión de ese acto para autorizarlo o no, detecta que el paciente no ha declarado todas sus dolencias, que guardan estrecha y directa relación con el motivo por el que finalmente el paciente debe ser intervenido. - Considera DKV, como información relevante, que, en la documentación de contratación, se informa de que se van a realizar solicitud de datos entre aseguradora y centros médicos, en párrafo separado y destacado y el tomador lo había firmado convenientemente. Y también reitera que, hay una omisión patente de antecedentes en la declaración de salud, de la que aporta captura de pantalla, en la que la parte reclamante responde negativamente a todos los supuestos recogidos en donde se le pide que “especifique si ha sido, está siendo o tiene previsto ser estudiado, diagnosticado, tratado, hospitalizado y/o valorado por algún médico, si tiene o ha tenido alguna enfermedad, malformación congénita o defecto constitucional, accidente, circunstancia de salud, síntoma o dolor”. Considera que se realizaron las oportunas comunicaciones al asegurado y explicaron los motivos en cada caso, tanto en las denegaciones parciales a dicha prueba como en la cancelación final y que, no se ha utilizado ninguna información procedente de ningún otro centro distintos a los que han intervenido en este caso y limitado a la información sobre esta patología. TERCERO: Con fecha 20 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos, en el transcurso de las actuaciones : - El 18 de junio de 2024 DKV Seguros en contestación a un requerimiento de esta Agencia señala: “Por la propia naturaleza jurídica de la compañía y del tipo de producto (póliza de salud privada) comercializado no encontramos en el consentimiento la base legítima reguladora sino en la relación contractual o precontractual así como en la obligación legal. Siendo esta uno de los fundamentos que habilita y levante la prohibición del art 9.1 del RGPD/ LOPDGDD. […] Los datos a que se tiene acceso para llegar a estas conclusiones son los que se facilitan por el propio reclamante en su denuncia, donde se comunican los antecedentes patológicos y su posible relación con el motivo que lleva a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/21 urgencias al paciente. Es notorio que desde Urgencias ya se programa a cirugía y ello puede deberse médicamente a la pertenencia a ese ensayo clínico al que está siendo sometido desde 2021. Desde la Dirección médica ponen el asunto en conocimiento de Dr. A.A.A. que es el ***PUESTO.1 (el asegurado es de ***LOCALIDAD.1) para su valoración junto con la de Primaria Diferida/ UME. Finalmente, UME (Unidad Médica de Evaluación) determinaba que, de haberse conocido esas patologías previas, la póliza no se habría aceptado. Evidencia 5 Diálogo valoración medica La conclusión de los equipos de valoración médica, director asistencial y UME así como la directora de gestión del fraude es que se ha actuado correctamente y que la póliza es propuesta para baja por incumplimiento del artículo 10 de la Ley de Contrato de Seguro. Así se hace saber, dentro del plazo reglamentario de un mes como se indica en la citada ley, mediante carta enviada al propio afectado/asegurado.” Adjunta copia del: 5_INFORME_MEDICO_VALORACION_PREEXISTENCIAS_Y_PROPUESTA_ BAJA que incluye el correo electrónico de 21 de noviembre de 2022 a las 16:39 de ***EMAIL.1 a ***EMAIL.2 en el que consta: “Póliza de alta el 7/2/22, CCPP y DDSS limpia, ambas firmadas. Os adjunto informe del ingreso actual por urgencias, aunque a mi entender, no es una urgencia: (…) el día previo cuando consultó en el clinic, sin signos de (…) ni ninguna otra razón de ingreso urgente, y que reconsulta a Teknon por este dolor, no justifico yo que sea un ingreso por urgencias, de hecho el informe deja claro que: reconsulta en nuestro centro para realizar ingreso (…). Pero, por otro lado, entre los antecedentes, se indica: (…): (…). Ninguno de estos antecedentes fue declarado, y en este contexto, (…), que ingresa por (…), teniendo una causa (…), no sé yo si no tiene relación con el estudio clínico en el que está ingresado. Por otro lado, en septiembre se autorizó desde Call center una (…) (sin pasar a valoración, ni cargar ningún informe) con la siguiente anotación que deja bastante claro que el estudio lo están haciendo en Teknon, (donde casualmente lo “ingresan por urgencia') […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/21 He denegado el ingreso por considerar que las preexistencias no declaradas son graves, y que el motivo de ingreso puede estar claramente relacionado con las preexistencias (si lo ingresaron por cirugía, es porque no lo consideraron relacionado con (…) y que se encuentra en ensayo clínico por (…) puede ser una complicación de las cirugías hasta que se demuestre lo contrario)”. Se reproduce a continuación parte del contenido de la “Ley 50/1980, de 8 de octubre, de Contrato de Seguro” («BOE» núm. 250, de 17/10/1980). “Artículo diez. El tomador del seguro tiene el deber, antes de la conclusión del contrato, de declarar al asegurador, de acuerdo con el cuestionario que éste le someta, todas las circunstancias por él conocidas que puedan influir en la valoración del riesgo. Quedará exonerado de tal deber si el asegurador no le somete cuestionario o cuando, aun sometiéndoselo, se trate de circunstancias que puedan influir en la valoración del riesgo y que no estén comprendidas en él. El asegurador podrá rescindir el contrato mediante declaración dirigida al tomador del seguro en el plazo de un mes, a contar del conocimiento de la reserva o inexactitud del tomador del seguro. Corresponderán al asegurador, salvo que concurra dolo o culpa grave por su parte, las primas relativas al período en curso en el momento que haga esta declaración”. - Asimismo, DKV envía a la AEPD copia del documento “SOLICITUD DE SEGURO” firmado por el reclamante el 22 de febrero de 2022 (firmado electrónicamente por OTP (One Time Password)) 22/02/2022 12:20:57 Pin SMS enviado al número ***TELÉFONO.1) que incluye: “Privacidad y derechos de protección de datos personales […] Finalidad del tratamiento y base jurídica La compañía incorporará y tratará los datos personales (incluidos los de salud) proporcionados en la solicitud de seguro y, en su caso, los derivados de informes o reconocimientos médicos, además de los obtenidos durante la vigencia del contrato para hacer posible el cumplimiento del mismo y, una vez cancelados, al efecto de atender posibles quejas y reclamaciones y hasta la prescripción de los plazos legales. Sus datos personales serán tratados sobre la base jurídica de la relación contractual, el cumplimiento de obligaciones legales y el interés legítimo, en concreto, con el fin de: > Gestionar la actividad aseguradora de la compañía. Esta gestión implica, entre otras funciones, las de valorar y delimitar el riesgo, tramitar los siniestros, cobrar los recibos del seguro, comunicar los cambios en las condiciones económicas, pagar las prestaciones, y gestionar los planes de prevención y promoción de la salud y los servicios adicionales al seguro. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/21 Destinatarios principales En función de la finalidad, sus datos personales podrán comunicarse a: > Los prestadores de servicios asegurados, al coasegurador o reasegurador del riesgo, al mediador que intermedió en la comercialización del contrato de seguro y a las entidades financieras a través de las que deba efectuarse el cobro de los recibos y el pago de las prestaciones, así como a todos los profesionales sanitarios o grupos hospitalarios que nos facturen dichas prestaciones. […] El tomador del seguro está obligado a comunicar a los demás asegurados y beneficiarios que sus datos personales han sido recogidos por DKV Seguros para estos tratamientos y finalidades. […] Autorización de acceso a la información de salud Desde este momento y durante toda la vigencia del contrato, los asegurados autorizan a DKV Seguros, con el fin de valorar, delimitar, actualizar y gestionar el riesgo, prevenir la enfermedad y promocionar la salud, a comprobar aquellos datos que sean necesarios sobre su estado de salud, ya provengan de contratos de seguro anteriores o vigentes en la actualidad o de informes médicos proporcionados por los profesionales y centros sanitarios que les hayan atendido. Asimismo, de acuerdo a los artículos 16.3 y 18 de la Ley de Contrato de Seguro, durante la vigencia del contrato, los asegurados autorizan a los servicios médicos de DKV Seguros a recabar, directamente de profesionales sanitarios, datos o información médica, con la única finalidad de gestionar, pagar y auditar el contrato de seguro, Los profesionales sanitarios que hayan examinado, asesorado y tratado a los asegurados quedan expresamente liberados de su secreto profesional y quedan autorizados a proporcionar a DKV Seguros las informaciones precisas, incluso cuando los asegurados hayan fallecido.”. - El reclamante, el 30 de agosto de 2024 en respuesta al requerimiento efectuado por esta Agencia, manifiesta que: “no se ocultó nada a DKV. El proyecto de seguro con DKV se acuerda el 07/02/2022 personalmente con su Agente Exclusivo B.B.B., número de clave (...), con mail ***EMAIL.3 y móvil ***TELÉFONO.2. Esta persona me ayuda a rellena el cuestionario presencialmente con las respuestas a las preguntas que se plantean e información que se solicita. Se le entrega analítica y medicación e informo de (…), y me indica que (…) no resulta relevante. Del (…) al tener una (…) y tratarse de algo estrictamente estético no se incluye porque está excluido de la póliza, al igual que la (…) de hacía 5 años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/21 […] precisé ingreso en Centro médico Teknon por un cuadro (…) tratamiento médico, desde el (…) hasta el (…). Debo recalcar que fui a ese centro ya que participaba en un ensayo clínico que promovía ***EMPRESA.1, empresa estadounidense dedicada a la fabricación de equipos médicos, que se llevaba a cabo en el propio Centro Médico Teknon de Barcelona con el nombre de “(…) (número de ensayo: (…)”). Esa participación en el referido ensayo comportaba como contraprestación de ello se me cubriría la totalidad de los gastos del tratamiento y cualquiera relacionado con el estudio y es por ello que NUNCA debería haberse solicitado autorización ni pago alguno a DKV SEGUROS puesto que no debía cubrir mi seguro coste alguno en dicho ensayo. No he solicitado jamás a DKV SEGUROS las autorizaciones a las que hacen referencia en sus comunicaciones de 14 de noviembre, 14 y 16 de diciembre de 2022 (aportadas en mi reclamación inicial), así como que tampoco he dado acceso a DKV SEGUROS a los antecedentes médicos a los que hacen referencia en la misiva de 13 de diciembre de 2022”. A la pregunta: “Describa, en su caso, el proceso de ingreso por urgencias en la clínica Teknon indicando qué documentación le solicitaron y de qué forma se acreditó su identidad” el reclamante responde: “Simplemente con mi DNI. Cuando fuí a TEKNON en noviembre de 2022 llegué en silla de ruedas casi sin poder reconocer a las personas y ni poder hablar y deciden ingresarme en planta. No me pidieron ningún dato pues tenían el número del paciente del estudio que cubría todo gasto por lo que no doy póliza ni datos.” - El 27 de noviembre de 2024 se recibe ante la AEPD el siguiente escrito por parte del reclamante: “Protocolo (…), versión del 1.2_8 de Septiembre de 2021_España (…) Información para el paciente Formulario de consentimiento informado y voluntario (Versión:1.2) 08 Sep de 2021 Título de la investigación: Estudio piloto abierto, unicéntrico y de un grupo para evaluar (…) Número de ensayo: (…) Promotor: ***EMPRESA.1 (…), (…) […] COSTES DEL TRATAMIENTO Y PARTICIPACIÓN EN EL ESTUDIO ***EMPREASA.1, el promotor, cubrirá los gastos asociados con el uso del dispositivo. El dispositivo S-M será gratuito. El promotor del ensayo abonará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/21 las pruebas que puedan resultar necesarias para su participación en este ensayo. No se le cobrará por el dispositivo en sí ni por nada relacionado con el estudio. […] LESIONES RELACIONADAS CON LA INVESTIGACIÓN Póngase en contacto con su médico del estudio para recibir tratamiento médico si cree que ha sufrido una lesión o ha enfermado como resultado de este estudio. El médico del ensayo le brindará atención médica de inmediato cuando la necesite y también le tratará por cualquier complicación que pueda ocurrir durante el ensayo debido a su participación en él. Si durante el transcurso del estudio sufre algún daño físico, lesión o alguna complicación en su salud relacionada con el producto médico en investigación o los procedimientos relacionados con el mismo, ***EMPRESA.1 le brindará toda la atención médica necesaria e inmediata para el tratamiento. El promotor abonará los costes de dicha asistencia. Además, ***EMPRESA.1 es responsable del daño sufrido en su salud como resultado de su participación en el estudio. ***EMPRESA.1 ha contratado un seguro de Chubb European Group SE (certificado de cobertura de seguro nº (…)).” - El 12 de diciembre de 2024 se recibe respuesta del Delegado de Protección de Datos de IDCQ HOSPITALES (Sociedad gestora del centro Teknon) al requerimiento de esta Agencia, manifestando: “(…) el interesado se persona en el servicio de urgencia del centro sanitario por (…), informando de que dispone de un contrato de seguro con DKV al hacer entrega de la tarjeta. En urgencias y tras su evaluación de acuerdo con el servicio de cirugía general se ingresa en Teknon. El mismo día en que acude al servicio de urgencias, el paciente es hospitalizado y durante dicho ingreso se le realizan diversas prestaciones, siendo intervenido el 22 de noviembre por la sociedad médica CSF UROS ASSOCIATS, S.L.P, con la que existe un acuerdo de prestación de servicios para la asistencia urgente no programada en la especialidad (…), en virtud del cual, actúa como encargado del tratamiento. El contrato firmado entre las partes, en cuanto a honorarios y forma de pago, establece que: “En el supuesto de que la asistencia urgente requiera de alguna intervención quirúrgica, cada una de las partes facturará, y por tanto, cobrará directamente del obligado al pago los importes correspondientes de las prestaciones que cada una ejecute, esto es, la Sociedad Médica el concepto de Honorarios Médicos y Quironsalud los correspondientes a derechos de quirófano, hospitalización medicación y cualesquiera otros iguales o similares. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/21 En base a lo anterior, CSF UROS ASSOCIATS, S.L.P, facturó la intervención que realizó al paciente a su aseguradora, según la información aportada por el paciente en ese momento, obligada al pago. De tal manera que es el paciente el que, en el caso de informar presentando la tarjeta de la existencia de un contrato de seguro, provoca la realización de dicha comunicación de datos a DKV. La información que fue comunicada a la aseguradora es la estrictamente necesaria para la facturación del servicio y con la única finalidad de que procediera al pago de los servicios prestados a su asegurado, única y exclusivamente. Durante su estancia, el paciente manifiesta que participa en un ensayo clínico y que debido a dicha participación es portador (…), situación ésta que puede estar en relación con la clínica que presenta durante el episodio. En relación con el ensayo clínico cuyo contrato se nos ha requerido, es importante aclarar que el Centro Médico Teknon no participa en ese estudio de investigación como centro sanitario del ensayo, ni como promotor ni ninguno de sus empleados actúa como investigador principal o coinvestigador. De tal manera que no ha firmado ningún contrato ni es conocedor de las contraprestaciones que el reclamante haya podido percibir por su participación. Por este motivo, no podemos aportar los documentos requeridos como puntos 2 y 3. No obstante lo anterior, Teknon fue conocedor de que en el citado ensayo clínico participa como centro del ensayo una sociedad médica independiente a Teknon (Servicios Integrales de Endoscopias, S.L.). Esta entidad presta servicios en distintos lugares, y una de sus ubicaciones está en el edificio de Teknon. Como no puede ser de otra forma, los sistemas que utiliza la sociedad médica y los de Teknon son independientes por lo que Teknon no estaba informado de la participación del paciente en ese ensayo. Es por esto que, una vez el centro sanitario tuvo conocimiento de la participación del paciente en el ensayo clínico, emitió factura por los servicios prestados al centro del ensayo, esto es, a Servicios Integrales de Endoscopias, S. L.” - En el Informe de Alta Urgencias del (…) aportado por el reclamante, consta que en ese ingreso la sociedad del paciente es “SERVICIOS INTEGRALES ENDOSCOPIA.”, en cambio tras esa alta, en el INFORME QUIRÚRGICO, la sociedad que consta es DKV, sin que se haya encontrado motivo para ese cambio.: “Informe de Alta de Urgencias de Teknon del reclamante por ingreso en hospitalización. Fecha ingreso (…)// fecha Alta: (…) 14:17. Motivo Alta: INGRESO EN HOSPITALIZACIÓN Sociedad: SERVICIOS INTEGRALES ENDOSCOPIA. MOTIVO DE CONSULTA: (…) SIN ESPECIFICAR. ANTECEDENTES PERSONALES […]” “INFORME QUIRÚRGICO de Teknon sobre el reclamante Fecha Ingreso: (…) 12:15 Fecha Alta: -- Motivo Alta: -- Sociedad:: DKV […] ANTECEDENTES MÉDICO QUIRÚRGICOS 1 01/12/2021 (…) […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/21 - El 5 de septiembre de 2024 se recibe respuesta de UROS, en la que manifiesta: “CSF UROS ASSOCIATS forma parte del Grupo UROS (“Uros”), al igual que Uros Medical S.L.P., BDN Uros Associats S.L.P., IB Uros Associats S.L.P., Centre Uroandrologic de Tarragona S.L.P.; y el equipo médico TK Uros Associats S.L.P., responsable de la atención al reclamante. Estas entidades operan bajo los mismos estándares y directrices, lo que les permite asegurar que cualquier gestión relacionada con la protección de datos personales se lleva a cabo conforme a la normativa vigente. Estas entidades trabajan en colaboración con otros profesionales y unidades dentro de la Clínica Sagrada Familia, Centro Médico Teknon, Hospital Monegal, Grupo Policlínica Ibiza y Hospital Quirónsalud Badalona, Hospital de Barcelona y Clínica CIMA (Sanitas), brindando una atención integral y multidisciplinar a los pacientes. Asimismo, forman parte del equipo de guardia de éstas. En la mayoría de estos casos, Uros asume la responsabilidad del tratamiento de datos y está obligado a informar a los clientes sobre cómo se gestionan sus datos personales. No obstante, existe una excepción significativa en los casos de atención en hospitales y durante los servicios de urgencia en hospitales, donde Uros brinda servicios como encargado del tratamiento colaborando como entidad externa en la atención de clientes de determinados hospitales. En tales casos los pacientes pertenecen a los hospitales y Uros actúa simplemente como entidad externa. […] Cabe destacar que en este caso concreto estamos hablando de un paciente ingresado en el (…) y que fue intervenido de urgencia por una serie de complicaciones médicas en las que tuvo que participar el equipo especialista de Uros. Asimismo, es relevante señalar que (…). Esta es una base de datos en donde se disponen las historias clínicas de los pacientes de Teknon y en la cual figura la participación del equipo médico de Uros como “Interconsulta”. Uros puede acceder a esta plataforma exclusivamente con la finalidad de gestionar las interconsultas o intervenciones relativas a los pacientes de Teknon. Como consecuencia de lo anterior, conforme el artículo 3.
- d)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que define como responsable del tratamiento a la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, el Centro Médico Teknon es la entidad responsable del tratamiento al determinar los fines, las condiciones y los medios del tratamiento de datos personales y, por su parte Uros actúa como encargado del tratamiento del Centro Médico Teknon prestando servicios de guardia para la atención de las urgencias que Teknon pueda recibir, entre otros. Visto lo anterior, al efecto de cumplir con dicho requerimiento y con el fin de cooperar con la autoridad de control, Uros ha hecho las averiguaciones oportunas de los hechos y junto a estas, aporta la siguiente información y documentación que consta en este escrito, sin perjuicio de que no será posible facilitar cierta información requerida por no ser el responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/21 II.- PROCEDIMIENTO SEGUIDO EN CASOS DE ATENCIÓN MÉDICA DE URGENCIA. D. C.C.C. formaba parte de un estudio llevado a cabo por el servicio central de endoscopias de Teknon. El paciente estaba ingresado en este centro cuando el día 22 de noviembre de 2022 Teknon informa mediante una llamada al equipo de guardia de Uros de la necesidad de practicar una intervención quirúrgica de carácter urgente. Se aporta como Documento Ref. 01: Consentimiento informado facilitado a D. C.C.C. en dónde se refleja que el responsable de los datos es IDCQ Hospitales y Sanidad, S.L.U. En estos casos en los que por razones de urgencia resulta imposible recabar la autorización de la aseguradora del paciente con carácter previo a la intervención, ésta se solicita una vez el paciente ha sido debidamente atendido. Por este motivo, la solicitud de autorización a DKV se realiza una vez D. C.C.C. ha sido operado siguiendo el procedimiento estándar del sector para la solicitud de 3 autorizaciones quirúrgicas, lo que quiere decir que, si Uros pertenece al cuadro médico de una aseguradora, como es este caso, la autorización la solicita Uros. En cambio, si el paciente está afiliado a una aseguradora que no tiene a Uros en su cuadro médico, será Teknon quien se encargue de gestionar la autorización. III.- PROCEDIMIENTO PARA LA COMUNICACIÓN DE LOS DATOS. En virtud de la relación establecida entre Uros y Teknon, la información relativa a la entidad aseguradora de cada paciente es proporcionada por Teknon. Siendo desconocido para Uros el procedimiento que sigue Teknon para identificar a los pacientes que acuden a su centro como clientes de una aseguradora, así como los protocolos de seguridad en la verificación de su identidad. En el caso que nos ocupa, Uros colabora con DKV SEGUROS a través del Plan Libera de DKV SEGUROS. Por este motivo, Uros, en cumplimiento de su relación contractual con DKV, solicitó la autorización de D. C.C.C.. Se aporta como Documento Ref. 02: El formulario de actos médicos programados de Teknon en el que se requiere a Uros para solicitar la autorización a DKV SEGUROS. En este mismo documento se puede evidenciar que los datos del reclamante D. C.C.C. con DNI nº ***NIF.1, fueron aportados por Teknon a Uros.”. Uros adjunta como evidencia “Solicitud de autorización” con anagrama “CENTRO MÉDICO TEKNON” que incluye los datos del reclamante y “Financiación: DKV SEGUROS Póliza: (…) […] MÉDICO REALIZADOR Y ACTOS A AUTORIZAR CSF UROS ASSOCIATS, S.L.P (CIF:B65211955)” - El 9 de septiembre de 2024 (REGAGE24e00067073639) DKV responde al requerimiento de esta Agencia manifestando: “Por tanto físicamente ese asegurado ha visitado ese hospital y se le ha practicado esa cirugía programada, hecho que entendemos no niega en ningún momento. Es muy circunstancial que haya una prueba física C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/21 (una visita) y que luego se indique se suplanta su identidad en la tramitación de las pruebas ligadas a dicha visita. 0 El propio asegurado al ver que se le deniegan las autorizaciones y la posterior carta de baja explica a nuestro servicio de atención al cliente por correo electrónico que el ensayo clínico en el que estaba participando (…) lo está realizando con esa clínica, Teknon. Su inquietud es cómo llega a DKV esa información. Sin duda llega a través del Grupo Teknon. La única sospecha en este caso es que además del fraude del asegurado al no comunicarnos sus patologías, Grupo Teknon intencionadamente o no, haya intentado facturar a DKV el importe de cirugías que ellos mismos financiaban con el asegurado (en esos casos, siendo ellos responsables del tratamiento de pleno derecho). Este segundo extremo todavía no lo hemos podido demostrar de forma plausible, pero en cualquier caso, no guarda relación con el hecho causante de la reclamación”. - En la respuesta del 12 de diciembre de 2024 (REGAGE24e00093135925) del CENTRO MÉDICO TEKNON al requerimiento de esta Agencia, de “Factura de la operación: (…), realizada al paciente e identificación del pagador de esta” manifiesta: “No se aporta factura de la operación emitida a DKV ya que como se ha explicado en la primera alegación, la entidad que factura a la aseguradora es CSF UROS ASSOCIATS, S.L.P. No obstante, como posteriormente el centro sanitario es informado de que el paciente participa en un ensayo, los servicios que han sido prestados al paciente se facturan por Teknon al centro del ensayo (Servicios Integrales de Endoscopias, S. L.)” Esta afirmación se contradice con el “Informe de Alta de Urgencias” del Servicio de Urgencias Generales del Centro médico Teknon, aportado por el reclamante, en el que el (…) consta como “Sociedad: SERVICIOS INTEGRALES ENDOSCOPIA”. - Al requerimiento de “Evidencias de que de acuerdo con el artículo Art. 5.1.d del RGPD: los datos del reclamante han sido exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»)”, alega: “El centro sanitario dispone y aplica un procedimiento para la adecuada identificación de sus pacientes: (...) Instrucción Técnica para la identificación de pacientes, que implementa y que se aporta como Documento núm. 4. Además de lo anterior, el centro sanitario no tenía registrado en su sistema de historia clínica electrónica la participación del paciente en el ensayo clínico, ya que como se ha explicado con anterioridad, dicho ensayo no se lleva a cabo en este centro sanitario. Entendemos, que serán responsables de los datos tratados como consecuencia del estudio, en su caso, el promotor (de los datos disociados) y centro sanitario del ensayo (de los datos identificativos y de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/21 asistencia sanitaria vinculada al estudio de investigación) y que debía ser este último el que tuviera registrado en su sistema dicha información”. Una vez analizada la documentación del expediente se concluye que: - El reclamante, aquejado de unas determinadas dolencias, participaba desde 2021 en un ensayo clínico promovido por “***EMPRESA.1”. En el contrato de adscripción a dicho ensayo se garantizaba la cobertura de los costes asociados a “LESIONES RELACIONADAS CON LA INVESTIGACIÓN”. Los ensayos estaban siendo realizados por la sociedad “Servicios Integrales de Endoscopias, S. L.” - En febrero de 2022 el reclamante en contrató una póliza de salud con DKV. No consta que en el proceso de contratación de la póliza informara de determinados antecedentes médicos. Según sus manifestaciones, ello se debió a que la persona que le atendió en el proceso de contratación le señaló que no eran relevantes. De acuerdo con la documentación contractual del seguro, el asegurado autoriza a DKV a comprobar aquellos datos que sean necesarios sobre su estado de salud, ya provengan de contratos de seguro anteriores o vigentes en la actualidad o de informes médicos proporcionados por los profesionales y centros sanitarios que le hayan atendido. - El reclamante acude al servicio de urgencias del centro médico TEKNON (…) y es hospitalizado de urgencias por “(…)”. En este punto las manifestaciones de las distintas partes difieren. El reclamante señala que se identificó únicamente con su DNI y que no aporta ningún dato de su póliza de DKV ya que el centro médico era conocedor del número de paciente del estudio que cubría sus gastos. El centro médico señala, sin embargo, que el reclamante informa de que es asegurado de DKV y aporta su tarjeta y que sólo es conocedor de la participación del reclamante en el ensayo cuando, una vez intervenido y durante su estancia en el hospital, éste se lo comunica. A este respecto se señala que consta en el “Informe de alta” de urgencias (Teknon) por ingreso en hospitalización del día (…) la referencia a la vinculación del reclamante con la sociedad “SERVICIOS INTEGRALES ENDOSCOPIA”. - El 21 de noviembre de 2022 consta que DKV envió un correo electrónico a su asesoría médica por una autorización de hospitalización “POR ORDEN: DR. D.D.D.” que incluye antecedentes médicos del “Informe de alta” del ingreso por urgencias, supuestamente desconocidos para DKV según el reclamante y en el que consta como “Sociedad” del reclamante: “SERVICIOS INTEGRALES ENDOSCOPIA”. De esta solicitud resulta la carta de DKV al reclamante de 21 de noviembre de 2022 denegando su solicitud de autorización para Hospitalización General/ESTANCIAS EN PLANTA considerando que la patología que padece es previa a la contratación de su póliza. El paciente fue intervenido de urgencia por el equipo especialista de CSF UROS ASSOCIATS el 22 de noviembre tras una llamada de Teknon al equipo de guardia de UROS para una intervención urgente. - Según UROS, en los casos que por razones de urgencia resulta imposible recabar la autorización de la aseguradora del paciente con carácter previo a la intervención, ésta se solicita una vez el paciente ha sido debidamente atendido. Por este motivo, la solicitud de autorización a DKV se realiza una vez que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/21 reclamante ha sido operado, siguiendo el procedimiento estándar del sector. Uros solicitó la autorización de intervención quirúrgica a DKV SEGUROS través de su Plan Libera según la información relativa a la entidad aseguradora proporcionada por Teknon, el 12 de diciembre de 2022 para la operación realizada el 22 de noviembre de 2022. - Las solicitudes de autorización a DKV de Teknon entre el 18 y el 21 de diciembre, y de Uros el 12 de diciembre, evidenciaron antecedentes médicos que provocaron la revisión y cancelación de la póliza por parte de DKV, alegando la “SOLICITUD DE SEGURO” firmada por el reclamante el 22 de febrero de 2022 y el artículo 10 de la “Ley 50/1980, de 8 de octubre, de Contrato de Seguro”: “El tomador del seguro tiene el deber, antes de la conclusión del contrato, de declarar al asegurador, de acuerdo con el cuestionario que éste le someta, todas las circunstancias por él conocidas que puedan influir en la valoración del riesgo. Quedará exonerado de tal deber si el asegurador no le somete cuestionario o cuando, aun sometiéndoselo, se trate de circunstancias que puedan influir en la valoración del riesgo y que no estén comprendidas en él. El asegurador podrá rescindir el contrato mediante declaración dirigida al tomador del seguro en el plazo de un mes, a contar del conocimiento de la reserva o inexactitud del tomador del seguro. Corresponderán al asegurador, salvo que concurra dolo o culpa grave por su parte, las primas relativas al período en curso en el momento que haga esta declaración”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de categorías especiales de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/21 El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/21 asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." III Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/21
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " IV Presunción de inocencia El artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En relación con lo anterior, conviene señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/21 En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o se conozca con certeza la identidad del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda. En este caso, la reclamación se centra en que CENTRO MÉDICO TEKNON comunicó ilícitamente sus datos personales a su aseguradora, DKV, lo que, en último término supuesto le rescisión unilateral de la póliza contratada por el reclamante en el año 2022 por parte de DKV. No obstante, conviene señalar, en relación con DKV que, el propio reclamante reconoce que, en el momento de realizar la firma de la póliza de este seguro, no incluyó en su declaración de salud determinados antecedentes médicos de obligatoria comunicación, ya que, según afirma, la persona que lo atendió en el proceso de contratación le señaló que no eran relevantes. Sin perjuicio de lo anterior, conviene resaltar que, de acuerdo con la documentación contractual del seguro, el asegurado autoriza a DKV a comprobar aquellos datos que sean necesarios sobre su estado de salud, ya provengan de contratos de seguro anteriores o vigentes en la actualidad o de informes médicos proporcionados por los profesionales y centros sanitarios que le hayan atendido, de acuerdo con los 16.3 y 18 de la Ley de Contrato de Seguro, siendo la base de legitimación por la que se ampararía el tratamiento de sus datos con carácter general lo previsto en el artículo 6.1
- b)del RGPD. Asimismo, el artículo 10 de la Ley 50/1980, de 8 de octubre, de Contrato de Seguro permite a las aseguradoras rescindir el contrato de manera unilateral en caso de que se obtuviera conocimiento de inexactitudes por parte del tomador del seguro en el proceso de contratación. De la misma manera, el artículo 99 de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras prevé el tratamiento de datos de salud de los que sean titulares los tomadores de un seguro por parte de sus aseguradoras sin necesidad de recabar su consentimiento. En lo que respecto al CENTRO MÉDICO TEKNON, con carácter general, el tratamiento de datos de salud contaría con una excepción a la prohibición de tratamiento en el artículo 9.2
- h)del RGPD. Asimismo, la comunicación de los datos de salud a la aseguradora estaría prevista por la Ley 50/1980 del contrato de seguro y, el Real Decreto Legislativo 6/2004, de 29 de octubre, por el que se aprueba el texto refundido de la Ley de ordenación y supervisión de los seguros privados, según proceda y en aquellos casos en los que sea aplicable. La reclamada afirma que el reclamante cuando acudió al servicio de Urgencias del Hospital, (…), comunicó que pertenecía a DKV y procedió a la entrega de la tarjeta de su aseguradora. No obstante, el reclamante señala que solo se identificó con el DNI y no dio ni póliza ni datos puesto que participaba en un estudio clínico que contaba con su propio seguro privado. Sin embargo, no ha quedado acreditada ninguna de las afirmaciones anteriores, así como tampoco el motivo por el que en el parte de alta de urgencias figura una sociedad aseguradora distinta a la que finalmente figura en el informe quirúrgico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/21 En cuanto a CSF UROS, que intervino al reclamante de urgencia, el 22/11/2022 tras la llamada del CENTRO MÉDICO TEKNON, trata los datos por cuenta de este último, en tanto que se trata de su encargado. De todo lo expuesto, cabe concluir que se plantean dudas razonables acerca de los el controvertido tratamiento de los datos personales del reclamante se efectuará en incumplimiento de lo previsto por los artículos 9 y 6 del RGPD, como asegura el reclamante. A la vista de lo anterior, en el presente caso no se han hallado elementos probatorios suficientes que permitan acreditar e imputar la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a DKV SEGUROS Y REASEGUROS, S.A.E., CSF UROS ASSOCIATS, S.L.P. y CENTRO MÉDICO TEKNON y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es