1/7 Expediente N.º: EXP202406139 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de abril de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra CONSEJERÍA DE SANIDAD Y SERVICIOS SOCIALES DE LA JUNTA DE EXTREMADURA con NIF S0611001I (en adelante, la parte reclamada o la Consejería). En el escrito recibido se informa de lo siguiente: La parte reclamante expone que la parte reclamada cuenta con una plataforma denominada “Centro de Salud Online”, en adelante CSO, en el que, de forma electrónica cualquier usuario puede acceder a su historial médico, consultas y resultado médicos y otros. Asegura que ha comprobado la existencia de accesos indebidos a su historia clínica en tanto en cuanto este se ha producido por un sanitario perteneciente a un área de salud distinta a la que a él le corresponde. Dicho acceso se habría producido el 25 de febrero de 2023 a las 16:38 horas. Por ello, se dirigió el 1 de febrero de 2024 a la parte reclamada para averiguar lo ocurrido. Al no recibir contestación, reiteró su petición el 15 de febrero de 2024 mediante la remisión de un burofax, y mediante correo electrónico el 21 de febrero de 2024. Junto a la notificación se aporta: - - - Escrito dirigido a la Junta de Extremadura, Consejería de Salud y Servicios Sociales, Servicio Extremeño de Salud, Dirección General de Asistencia Sanitaria, Centro de Salud Online a través del Registro Electrónico de la Junta de Extremadura, con fecha de entrada 01/02/2024, por el que solicita información relativa al supuesto acceso indebido indicado. Burofax enviado al Servicio Extremeño de Salud, Dirección General de Asistencia Sanitaria de fecha de imposición 15/02/2024 por el que reitera su solicitud y la respuesta al burofax informándole de que no se ha recibido su primer escrito y sugiriéndole que lo remita de nuevo por este mismo medio. Correo electrónico enviado por la parte reclamante con fecha 21/02/2024 al Servicio Extremeño de Salud adjuntando el primer escrito enviado y el justificante de registro electrónico de la Junta de Extremadura de fecha 01/02/2024. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de abril de 2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 1 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - o El acceso al Centro de Salud Online (CSO), https:saludextremadura.ses.es/csonline, se realiza mediante certificado digital. Al acceder al sistema figuran las siguientes pestañas: o Gestión de citas Mi historial clínico Mi historia clínica Informes Resultados de laboratorio Resumen de la IT Consulta de accesos Certificado COVID Digital UE o Mis tratamientos o Atención al usuario - En el apartado consulta de accesos de la parte reclamante figuran accesos a su documentación clínica realizados desde mayo del año 2011 hasta mayo del año 2024. La información que se muestra para cada acceso es la fecha, la hora, el motivo y el usuario. - Se comprueba que en fecha 25 de febrero de 2023, a las 16:38:17 horas, hay un acceso del usuario A.A.A., en el que en Motivo de acceso se indica Gestión de paciente. - El Servicio Extremeño de Salud, en adelante, SES, remitió a la parte reclamante un escrito fechado el 26 de febrero de 2024 por el que le remitía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 copia de los accesos a su historia clínica, coincidente con la que podía obtenerse en el CSO y en el que figuraba el acceso de 25 de febrero de 2023 anteriormente indicado. Además, le indicaba que: “en cuanto a su solicitud de confirmación de la duración de cada uno de los accesos y de la información solicitada respecto al punto de acceso (si se ha producido desde un terminal del Hospital “Ciudad de Coria” u otro lugar diferente, si hay conectada impresora digital y si se ha realizado impresión digital de la información), tan sólo podemos proporcionarle la información que encontrará en la información anexa. Ello porque su solicitud excede lo establecido en la Ley 3/2005, de 8 de julio, de información sanitaria y autonomía del paciente de Extremadura, en su artículo 35-3 que reconoce el derecho de los ciudadanos “a obtener copias o certificados de los mencionados documentos, y a conocer en todo caso quién ha accedido a sus datos sanitarios, el motivo del acceso y el uso que se ha hecho de ellos”. - - - - C/ Jorge Juan, 6 28001 – Madrid Tras la recepción del escrito anterior, la parte reclamante dirigió el 7 de abril de 2024 un nuevo escrito a la parte reclamada insistiendo en conocer, entre otros aspectos, el motivo del acceso, así como el uso que se hubiera hecho de sus datos. El SES dirigió el 13 de septiembre de 2024 un nuevo escrito a la parte reclamante en el que reitera que la información solicitada, más allá de lo ya facilitado, excedía de lo prescrito en el artículo 35.3 de la normativa extremeña en materia de acceso a la historia clínica. Con fecha 27 de noviembre de 2024, en el marco de las actuaciones previas de investigación tiene entrada en la sede electrónica de esta Agencia ampliación de la reclamación formulada por la parte reclamante, donde expone que ha comprobado en el listado de accesos ya remitido a la AEPD que el 28/08/2020 se reflejan dos accesos a su historia clínica por B.B.B., que presta sus servicios (…). Por ello, ha dirigido un nuevo escrito solicitando información a la parte reclamada sobre estos accesos. Los días 5, 6 y 21 de mayo de 2025 la parte reclamante remite nueva documentación a la AEPD, entre la que destaca: o Correo electrónico de 26 de diciembre de 2024 a las 11:03h dirigido a la parte reclamante desde la dirección ***EMAIL.1 en el que Departamento de Personal y RRHH del Área de Salud de Coria, Gerencia de Coria por el que se informa a la parte reclamante de que con esa misma fecha se ha acordado el inicio de “Información Reservada previa” con relación al acceso a su CSO de 25 de febrero de 2023, a las 16:38:17 horas, hay un acceso del usuario A.A.A.. o Escrito de la Dirección General de Recursos Humanos del SES dirigido a la parte reclamante con fecha de firma de 26 de marzo de 2025, en el que se comunica: “En relación con su reclamación por los presuntos accesos indebidos a su historia clínica, (…) con fecha 26 de marzo de 2025 se ha incoado expediente disciplinario a A.A.A., para depurar la posible responsabilidad derivada de su conducta”. o Escrito del SES con fecha de registro de salida de 30 de abril de 2025 dirigido a la parte reclamante en el que se le informa por parte de la Dirección General de Recurso Humanos del Servicio www.aepd.es sedeaepd.gob.es 4/7 o Extremeño de Salud del sobreseimiento y archivo del expediente disciplinario incoado a A.A.A. por supuesto acceso ilegítimo a su historial médico. Escrito del SES a la parte reclamante con fecha de registro de salida de 19 de mayo de 2025 en el que se informa a la parte reclamante que carece de la condición de interesado en el procedimiento disciplinario finalizado mediante resolución de archivo. QUINTO: En fecha 19 de noviembre de 2025, tiene entrada en la sede electrónica de esta Agencia ampliación de la reclamación formulada por la parte reclamante. Adjunta copia de un escrito dirigido al DPD del SES referente a una incidencia por la que no figuraría en el CSO los accesos realizados por el propio reclamante entre el 25/02/2023 y el 04/08/2023. Remite, a este respecto copia del escrito enviado por el Delegado de Protección de Datos del SES en el que le informa de que la información a la que hace referencia no puede ser manipulada. Adjunta un correo electrónico de A.A.A. (***EMAIL.2) de 18/04/2023 dirigido a la parte reclamante en el que únicamente puede leerse: (…) conforme usted me ha pedido le refiero, por escrito, las circunstancias que dieron lugar a que por dos veces y por un brevísimo e insignificante espacio de tiempo, accediera a sus datos administrativos desde uno de los terminales del Servicio de Urgencias (…) el 27 de febrero de 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 El artículo 6 del RGPD establece: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. III Tratamiento de datos personales de categoría especial. Artículo 9 del RGPD El artículo 9. del RGPD en relación con el tratamiento de categorías especiales de datos personales, establece: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico, racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera univoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.” IV Conclusión En el presente caso, la parte reclamante señala que se han producido accesos indebidos a su historia clínica por parte de personal sanitario que, de acuerdo con la parte reclamante, no habrían accedido a esta en el ejercicio de sus funciones. En concreto, señala un supuesto acceso indebido de 25 de febrero de 2023, a las 16:38:17 horas, realizado por A.A.A.. Consta, no obstante, en el expediente que la Dirección General de Recursos Humanos del SES procedió el 26 de marzo de 2025 a la apertura de un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 disciplinario por el presunto acceso indebido, concluyendo dicho procedimiento en un sobreseimiento y archivo del mismo. En consecuencia, en la medida en que dicho procedimiento disciplinario finalizó con un archivo por parte del órgano competente, no existen indicios de que el acceso a la historia clínica se produjera de manera indebida y, en consecuencia, de la existencia de una infracción desde la perspectiva de protección de datos. Se subraya, además, que en la medida en que no existen elementos de cargo suficientes, ha de primar el principio de presunción de inocencia. Por otra parte, en relación con los supuestos accesos indebidos a la historia clínica de la parte reclamante por B.B.B., (…) ha de subrayarse que estos tuvieron lugar en agosto de 2020, por lo que cualquier posible infracción del RGPD derivada de estos hechos se encontraría a día de hoy prescrita. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a contra CONSEJERÍA DE SALUD Y SERVICIOS SOCIALES DE LA JUNTA DE EXTREMADURA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es