1/6 Expediente N.º: EXP202402279 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 20 de diciembre de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra A.A.A. (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que, con fecha 16 de diciembre de 2021, dentro del Exp. Nº (…), presentado a través de la ODDUS (Oficina de Defensa de los Derechos de los Usuarios Sanitarios del Gobierno de Canarias), solicitó acceso a copia del informe (consentimiento informado) que firmó el mismo día de la cirugía. Recibiendo respuesta del reclamado, dentro del referido expediente, adjuntando: Informe de asistencia visita de 5 de diciembre de 2018, Informe de la cirugía realizada el 20 de diciembre de 2018, curas realizadas por enfermería los días 24, 28 y 31 de diciembre de 2018, 8 y 28 de enero, 15 de febrero, 12 de marzo, 8 de abril y 13 de mayo de 2019, e Informe de la visita realizada en septiembre de 2019. Dentro del referido expediente, la parte reclamante expone que reitera nuevamente su petición, acceso a copia del informe (consentimiento informado) que firmó el mismo día de la cirugía y copia del informe de los resultados de la analítica realizada ante de la cirugía. Con fecha 26 de marzo de 2022, a través de la ODDUS reitera su solicitud de acceso a copia de consentimiento informado que firmó el mismo día de la cirugía. El reclamado responde que, a día de 19 de abril de 2022, no dispone del documento requerido por motivos ajenos a su persona. Asimismo, mediante escrito de fecha 19 de mayo de 2022, la parte reclamada afirma que, con fecha 6 de febrero de 2020 sufrieron una inundación, provocada por un escape de un vecino, lo que afectó de forma grave a un número elevado de historias clínicas (…), entre las que se encuentra la del reclamante, no pudiendo recuperar el consentimiento requerido, aportando documentación acreditativa de tal extremo. Haciendo entrega al reclamante de un consentimiento estándar similar al que firmó en su momento, pero sin cumplimentar ni firma. Mediante burofax de fecha de imposición 25 de noviembre de 2022, la parte reclamante, a través de su representante legal, solicitó acceso a copia íntegra de su historia clínica, no habiendo recibido respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 20 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Hechos objeto de reclamación La parte reclamante indica, n primer lugar, que solicitó reiteradamente la copia el consentimiento firmado previamente a una cirugía realizada por la parte reclamada. Se le facilitaron algunos documentos y se le indicó que, con fecha 6 de febrero de 2020, sufrieron una inundación, provocada por un escape de un vecino, lo que afectó de forma grave a un número elevado de historias clínicas (…), entre las que se encuentra la del reclamante, no pudiendo recuperar el consentimiento requerido. Las medidas de seguridad exigen que las entidades que tratan datos personales puedan garantizar la integridad y disponibilidad de los mismos, lo que no se ha podido garantizar al haberse dañado de forma irrecuperable un documento que formaba parte de la historia clínica, en fecha 6 de febrero de 2020. El artículo 83.4.
- a)del RGPD indica lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” El artículo 73.
- f)califica como infracción grave a efectos de prescripción: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679” V Conclusión La posible actuación infractora de la reclamada se encontraría prescrita por el transcurso de los dos años de prescripción de las infracciones graves, tal y como señala el artículo 73 de la LOPDGDD, a contar desde el momento en que se incumplieron las medidas de seguridad y se deterioró de forma irrecuperable parte de la documentación médica que formaba parte de la historia clínica del reclamante. Hay que señalar que la reclamación se interpuso transcurrido el plazo de prescripción de la posible infracción cometida por la reclamada. En cuanto al derecho de acceso a su historia clínica, ya se le facilitó la documentación siguiente: Informe de asistencia visita de 5 de diciembre de 2018, Informe de la cirugía realizada el 20 de diciembre de 2018, curas realizadas por enfermería los días 24, 28 y 31 de diciembre de 2018, 8 y 28 de enero, 15 de febrero, 12 de marzo, 8 de abril y 13 de mayo de 2019, e Informe de la visita realizada en septiembre de 2019. Respecto al documento de consentimiento informado reclamado, ya le indicaron que no pueden facilitarlo al haber sufrido una inundación en el archivo e historias clínicas. Así pues, al no haber sido posible atribuir la responsabilidad por el incumplimiento de las medidas de seguridad establecidas legalmente al estar prescrita la posible infracción, de conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es