← España

AI-00312-2023

1/14  Expediente N.º: EXP202308486 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 31 de mayo de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos (AEPD) contra el SERVICIO RIOJANO DE SALUD con NIF Q2669003B (en adelante, la parte reclamada o SERVICIO DE SALUD). Los motivos en que basa la reclamación son los siguientes: En el escrito recibido se informa de lo siguiente: La parte reclamante expone que en dos ocasiones se han confundido sus datos personales con los de terceros que se llaman y apellidan igual, pero tienen número de DNI distintos. Alega que ocurrió en 2020 con un hombre de Pontevedra, lo que originó que le dieran de baja de la Seguridad Social, perdiera el derecho a asistencia sanitaria pública y eliminaran su historia cínica, que se añadió a la del ciudadano de Pontevedra. Situación que se revertió tras numerosas gestiones. Asimismo, manifiesta que en 2023 ha vuelto a suceder, en esta ocasión con un hombre de Arnedo, La Rioja, siendo conocedor de lo ocurrido en la consulta del médico, habiendo desaparecido su historia clínica de nuevo. Aporta copia de: "Documento para la emisión y/o modificación de la tarjeta sanitaria", de fecha de firma 14/07/2020, "Documento acreditativo del derecho a asistencia sanitaria", de fecha 09/07/2020, "Resolución: Asignación de número de Seguridad Social o número de afiliado", de fecha 15/06/

  1. Refiere que le han comunicado que es imposible recuperar su historia clínica. No aporta documentación acreditativa de lo relatado respecto del año
  2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 19/07/
  3. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 No se recibió respuesta a este escrito de traslado en el plazo otorgado, si bien se recibió tras el inicio de las actuaciones previas de investigación detalladas en los siguientes apartados de esta resolución. TERCERO: Con fecha 31 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - En fecha 20/10/2023 se recibe escrito de contestación al traslado de la reclamación incorporándose a estas actuaciones. En el mencionado escrito el SERVICIO de SALUD manifiesta: o En las comprobaciones realizadas, se ha detectado la existencia de diversas personas con el mismo nombre y dos apellidos del reclamante con distinto DNI. Asimismo, se ha verificado que la historia clínica del reclamante no ha desaparecido. o Con fechas 18 y 19 de septiembre de 2023 se ha intentado contactar con el reclamante sin conseguirlo. El día 26 de septiembre de 2023 se contacta con él vía telefónica donde se le informa de que ha sido un error puntual y las medidas puestas para evitar lo sucedido y el día 4 de octubre de 2023 se le remite esta información al reclamante por escrito. o El SERVICIO de SALUD ha aportado justificante del envío en el que figura un sobre remitido a la dirección del reclamante sin contenido de este. En fecha 17/11/2023 la inspección remite un requerimiento al SERVICIO DE SALUD con objeto de conocer la descripción de los hechos concretos ocurridos en 2020 y 2023 en relación con la historia clínica del reclamante, así como especificación de los procedimientos para la recuperación de la historia clínica del reclamante, reiterado el 28/2/
  4. En fecha 19/3/2024 tiene entrada un escrito del representante de la parte reclamada con idéntica respuesta a la dada al traslado, aportada el 20/10/2023, si bien, en esta ocasión incluye el escrito remitido a la parte reclamante el 4/10/2023, en el que le informan de lo siguiente: “Los errores se han producido al buscar en nuestra base de datos de Historia Clínica Electrónica su historia personal a través de nombre y apellidos, dándole entidad a un paciente con su mismo nombre, pero sin que se tratara de usted. Esto supone que usted no apareciera temporalmente como usuario del SERIS; pero sin pérdida de información, que continuaba en su histórica clínica inactiva. En estos momentos, se ha revisado la situación, mejorando la búsqueda de pacientes a través del CIPA (Número de Tarjeta Identificativa Autonómica), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 evitando la creación de nuevos pacientes sin asegurarse previamente de que no existen en nuestra base de datos de usuarios y comprobando su pertenencia o no, a Tarjeta Sanitaria. Una vez recuperada su situación de alta en el SERIS, se ha comprobado tanto en la Historia Clínica de especializada, como en la Historia Clínica de atención primaria, que sus datos están y son los correctos de acuerdo a su información.” - En fecha de 25/4/2024 se solicitó al SERVICIO DE SALUD por la Subdirección General de Inspección de Datos, información sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia, así como la aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, y sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. Con fecha de 02/05/2024 tuvo entrada un escrito de respuesta en el que el representante de la parte reclamada manifiesta lo siguiente: o El Servicio Riojano de Salud, ya había iniciado esos trabajos de mejora en la búsqueda de pacientes en las aplicaciones relacionadas con la historia clínica, utilizando un identificador único. La decisión propuesta y aceptada por el responsable fue la de utilizar el Código de Identificación Personal Autonómico (CIPA) como dato único de identificación. Sobre esta iniciativa, y a modo de evidencia, aportan la Memoria de Coordinación de Calidad y Seguridad Asistencial 2022-2023 del Servicio Riojano de Salud (SERIS), en el que se incluye el punto “Proyecto de calidad y seguridad: Implantación del uso del CIPA como identificador unívoco de paciente en el SERIS”. o Una vez implantada esta mejora, se comprobó su eficacia y se divulgó la información y método de trabajo en toda la organización y, especialmente, a los profesionales implicados en la recepción de pacientes en los diferentes ámbitos asistenciales. o Entre otras iniciativas, el Departamento de Coordinación de Calidad y Seguridad Asistencial llevó a cabo una divulgación generalizada a través de documentos informativos que se publicaron y difundieron en la Newsletter de la organización, que se distribuye por correo electrónico a toda la plantilla. Aportan capturas de los artículos de la Newsletter del 11 de octubre de 2022 y del 9 de febrero del
  5. o Desde el área de tecnología se desarrollaron utilidades y herramientas que permiten realizar un análisis y seguimiento de historias no ligadas a tarjeta sanitaria, así como duplicidades o errores en la creación de nuevas historias. Estas utilidades facilitan la detección temprana de los casos posibles de error y su corrección (eliminación o fusión de historias clínicas) por parte del personal del Servicio de archivo y Documentación Clínica. o Una vez que el Delegado de Protección de Datos, que es un órgano colegiado compuesto por un equipo multidisciplinar de personas de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 organización, fue conocedor de la incidencia, se procedió a recabar toda la información al respecto, especialmente sobre las medidas adoptadas para mejorar el proceso de identificación unívoca de pacientes. En esta línea de colaboración con el Responsable del Tratamiento, un miembro de ese órgano colegiado (DPD), concretamente la Jefe de Servicio de Archivo y Documentación Clínica, se incorporó en el equipo de trabajo que lideró todas las iniciativas y planes de mejora detallados en el punto anterior. De esta forma, por un lado, se consiguió trasladar los requisitos básicos de seguridad para evitar riesgos de problemas de identificación propuestos por el DPD y, a la vez, el DPD se mantenía permanentemente informado y actualizado sobre los avances de esas iniciativas. En la introducción de la Memoria de Coordinación de Calidad y Seguridad Asistencial 2022-2023 del Servicio Riojano de Salud (SERIS) aportada se especifica que la Coordinación de Calidad y Seguridad Asistencial de la parte reclamada comienza su actividad el 1 de mayo de 2022, logrando el desempeño de su labor en estrecha colaboración con la Dirección de Planificación Estratégica, de la cual depende. En la primera fase se llevó a cabo el análisis y recopilación de información y documentación existente en los diferentes servicios y centros sanitarios de la organización. Al mismo tiempo se informó de su reciente constitución y comienzo de trabajo con todo el SERIS, el profesional al frente de su dirección, la política de Seguridad del Paciente (SP)impulsada por la Gerencia y el proyecto en curso para la elaboración e implementación del PSP-SERIS. Esta labor se consiguió a través de una ronda de 48 reuniones presenciales, llevadas a cabo personalmente por la coordinadora y el director, con los directivos y mandos intermedios, así como con diferentes profesionales sanitarios que están vinculados actualmente o estuvieron en el pasado, con actividades de Seguridad del Paciente (SP) en el Hospital Universitario San Pedro, HUSP, HC, HGLR, Atención Primaria y Atención de Emergencias

(061). El punto 3 de la memoria recoge los objetivos planificados y cumplidos: elaboración y publicación del Plan de Seguridad del Paciente del SERIS 20222024, y diseño y consolidación de la estructura organizativa y funcional adecuada para llevar a cabo las líneas estratégicas definidas de Seguridad del Paciente del SERIS. En fecha de 9/5/2024 y 21/6/2024 se reiteró por Subdirección General de Inspección de datos nuevamente a la parte reclamada, la información solicitada en fechas 17/11/2023, reiterada el 28/2/2024 con objeto de conocer la descripción de los hechos concretos ocurridos en 2020 y 2023 en relación con la historia clínica del reclamante, así como especificación de los procedimientos para la recuperación de la historia clínica de la parte reclamante. En fecha 18/7/2024 tuvo entrada un escrito de respuesta al requerimiento en el que manifiestan lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid Las comunicaciones entre la base de datos poblacional de La Rioja (Tarjeta Sanitaria), la aplicación SELENE de historia clínica digital en La Rioja y Tarjeta Sanitaria del Sistema Nacional de Salud, no requieren de intercambio de documentación, sino que se llevan a cabo mediante mensajería electrónica. Aportan copia de los correos que se han generado recabando la información necesaria. www.aepd.es sedeagpd.gob.es 5/14 o Los hechos que dieron lugar al problema referido por el usuario son los siguientes: - Tanto el paciente de La Rioja como el paciente de Pontevedra comparten nombre, apellidos y fecha de nacimiento. - En abril de 2016, al cumplir 14 años, se añaden al paciente riojano en sus datos de tarjeta sanitaria, el DNI y el NAF (número de Afiliación). A este respecto, aportan captura de pantalla de la aplicación informática que recoge estos datos. - En mayo del 2017, el Sistema Nacional de Salud (SNS) realiza una modificación de datos a partir de los movimientos diarios del Instituto Nacional de la Seguridad Social (INSS), que vincularon erróneamente de forma automática los datos NAF y DNI del usuario riojano asignándole los correspondientes al usuario gallego. A este respecto, aportan captura de pantalla de la aplicación informática. - En enero del 2019 el servicio de tarjeta sanitaria de La Rioja recibe un correo del Servicio de Tarjeta Sanitaria del Ministerio, indicando que ha encontrado un usuario (A.A.A.) que figura con dos códigos SNS (***CÓDIGO.1 Y ***CÓDIGO.2) y comunica que han procedido a dar de baja por duplicidad el código SNS ***CÓDIGO.2 que estaba ligado al Código de Identificación Personal Autonómico (CIP-AUT) del usuario de La Rioja, dejándole sin derecho a prestación sanitaria y su Historia Clínica Electrónica (HCE) inactiva. A este respecto, se aporta captura de pantalla de dicho correo. - Desde Tarjeta Sanitaria se reclama información al respecto y les indican que la actuación anterior por parte de Tarjeta Sanitaria del Ministerio se realiza a petición de Galicia. Se aporta captura de pantalla de dicha comunicación. - En el 2020 cuando el paciente de La Rioja acude al Servicio Riojano de Salud reclamando asistencia, el profesional que le atiende, con los datos de búsqueda de ese momento (búsqueda que se ha mejorado ya para conseguir la identificación única del paciente, como se ha indicado en escritos previos dirigidos a la AEPD) solo encuentra al paciente de Pontevedra. De ahí la sensación por parte del usuario de que han usurpado su historia clínica lo cual no se corresponde con la realidad ya que está solo inactiva y no requiere de ninguna comunicación con el Servicio Gallego de Salud que maneja únicamente la historia clínica del paciente gallego. o C/ Jorge Juan, 6 28001 – Madrid La recuperación de la visibilidad de la historia clínica del reclamante solo supuso darle de alta nuevamente en Tarjeta Sanitaria con sus datos correctos y asignarle un nuevo Código de Identificación Personal Autonómico (CIP-AUT) que es el vínculo con la aplicación de Historia Clínica Electrónica (HCE) con ello se rescató su historia clínica del repositorio (base de datos de pacientes atendidos previamente sin tarjeta sanitaria activa) y pasa a ser una historia activa con todos sus derechos y sin pérdida de información. www.aepd.es sedeagpd.gob.es 6/14 La historia clínica del reclamante no estuvo asociada a una tercera persona, sino que estuvo inactiva desde el 23.01.19 al 14.07.20. o C/ Jorge Juan, 6 28001 – Madrid En cuanto a los hechos ocurridos en el 2023, tras las conversaciones mantenidas con el reclamante y su madre (que era la persona que acudía a los centros sanitarios solicitando la prestación para su hijo) no se corresponden exactamente con lo que el paciente describe. La historia clínica estaba activa, pertenecía al paciente riojano reclamante, pero el profesional médico a la hora de prescribir una receta debió encontrarse con algún problema de conectividad entre historia clínica y receta electrónica y deducimos por su escrito, que el reclamante lo vivió como si se repitiera el problema del 2020, sin que la situación fuera la misma en ningún caso. El paciente de Arnedo que se menciona apareció como resultado de la búsqueda que realizó el profesional sanitario, con el que nuestro reclamante solo comparte nombre y apellidos, acabando ahí las coincidencias. www.aepd.es sedeagpd.gob.es 7/14 Por tanto, en las actuaciones previas de investigación realizadas por la AEPD se concluye lo siguiente: - - La parte reclamante expone que, en dos ocasiones, en 2020 y en 2023, se han confundido sus datos personales con los de terceros que se llaman y apellidan igual, pero tienen número de DNI distintos. La segunda vez fue conocedor de lo ocurrido en la consulta del médico, habiendo desaparecido su historia clínica de nuevo. Refiere que le han comunicado que es imposible recuperar su historia clínica. No aporta documentación acreditativa de lo relatado. De la documentación e información aportada por la parte reclamada se desprende que los hechos que dieron lugar al problema referido por la parte reclamante son los siguientes: o Tanto la parte reclamante como el paciente de Pontevedra comparten nombre, apellidos y fecha de nacimiento. o En abril de 2016, al cumplir 14 años, se añaden en los datos de tarjeta sanitaria de la parte reclamante, el DNI y el NAF. o En mayo del 2017, el Sistema Nacional de Salud (SNS) realiza una modificación de datos a partir de los movimientos diarios del INSS, que vincularon erróneamente de forma automática los datos NAF y DNI de la parte reclamante asignándole los correspondientes al usuario gallego. o En enero del 2019 el servicio de tarjeta sanitaria de La Rioja recibe un correo del Servicio de Tarjeta Sanitaria del Ministerio, indicando que ha encontrado un usuario (A.A.A.) (***CÓDIGO.1 Y ***CÓDIGO.2) y comunica que han procedido a dar de baja por duplicidad el código SNS ***CÓDIGO.2 que estaba ligado al Código de Identificación Personal Autonómico (CIP-AUT) de la parte reclamante, dejándole sin derecho a prestación sanitaria y su historia clínica electrónica inactiva. o Al buscar en la base de datos de historia clínica electrónica su historia personal a través de nombre y apellidos, dándole entidad a un paciente con su mismo nombre, pero sin que se tratara de él. Esto supone que no apareciera temporalmente como usuario del SERVICIO DE SALUD; pero sin pérdida de información, que continuaba en su histórica clínica inactiva. Los hechos se producen debido al protocolo existente en ese momento para acceder a las historias clínicas de los pacientes, puesto que la búsqueda se realizaba mediante el nombre y apellidos del paciente, lo que podía dar lugar a la confusión de pacientes con los mismos datos. Por ello, el SERVICIO DE SALUD ha adoptado medidas para evitar que los hechos se repitan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 o La historia clínica del reclamante nunca estuvo asociada a una tercera persona, sino que estuvo inactiva desde el 23.01.19 al 14.07.20. o En cuanto a los hechos ocurridos en el 2023, la historia clínica estaba activa, pertenecía a la parte reclamante, pero el profesional médico a la hora de prescribir una receta debió encontrarse con algún problema de conectividad entre la historia clínica y receta electrónica. Aseveran que, aun cuando la parte reclamante pudiera vivirlo como si se repitiera el problema del 2020, la situación no era la misma en ningún caso. QUINTO: El 29/7/2024, en el marco de las actuaciones de investigación referidas en el antecedente de hecho anterior, la Subdirección General de Inspección de Datos solicitó al Ministerio de Sanidad información y documentación en relación con los hechos ocurridos en mayo del 2017, por los que el Sistema Nacional de Salud (SNS) realiza una modificación de datos a partir de los movimientos diarios del INSS, que vincularon erróneamente de forma automática los datos NAF y DNI de la parte reclamante asignándole los correspondientes al usuario gallego. El 21/10/2024 se recibe respuesta del Ministerio de Sanidad, en la que se explica, a grandes rasgos, el funcionamiento de las bases de datos a las que había hecho referencia en sus respuestas la parte reclamada. Además, se facilita la siguiente información respecto al caso concreto: - Se producen dos movimientos sucesivos desde la Base de Datos de Aseguramiento Sanitario del INSS (BADAS): el 10 de mayo de 2017 asigna un DNI y un Numero de afiliación a la SS (NAF) y en fecha 22 de junio de 2017 es asignado el NAF TITULAR de otra persona, con el mismos nombre y apellidos que un usuario que hasta ese momento estaba registrado en Galicia. - Tras este hecho, al encontrarse en la Base de Datos de Población Protegida (BDPPSNS) dos personas con mismo DNI, NAF, nombre y apellidos, se procedió a dar de baja el Código de identificación personal del Sistema Nacional de Salud del que disponía por la duplicidad que estaba ocasionando en la base. Posteriormente, el SERIS le asignó otro Código de identificación personal para revertir la situación, cuya fecha de alta registrada fue el 15 de julio de 2020, quedando solucionada la situación. - A fecha del 18 de octubre de 2024, la situación de A.A.A. con DNI ***NIF.1, es correcta. El (…) actual es ***CÓDIGO.3, DNI ***NIF.1, (…) ***CÓDIGO.4, nombre y apellidos correctos, A.A.A. (…). - Es por ello, por lo que, de acuerdo con lo que consta en la Base de Datos de Población Protegida (BDPPSNS), la situación no revierte los datos de otra persona en ningún momento desde que se dio de alta el 15 de julio de 2020. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 De acuerdo con las funciones que el artículo 57.1 a),
  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el SERVICIO DE SALUD realiza, entre otros tratamientos, la recogida, conservación y utilización de datos personales de personas físicas. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  3. a)la seudonimización y el cifrado de datos personales;
  4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. IV Protección de datos desde el diseño y por defecto El artículo 25 del RGPD establece lo siguiente: 1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo. VII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Conclusión De la documentación obrante en el presente procedimiento se deduce lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 Existen dos situaciones diferenciadas que no pueden calificarse como equivalentes desde la perspectiva de protección de datos. - La primera de ellas, identificada por la parte reclamante como ocurrida en el año 2020, en la que, a raíz de una vinculación errónea producida en 2017 de los datos del NAF y del DNI de la parte reclamante con los correspondientes a un tercero con el que compartía nombre, apellidos y fecha de nacimiento, se dio de baja, por entender que existía duplicidad, su Código de Identificación Personal del Sistema Nacional de Salud en enero de 2019, lo que provocó, además, que la historia clínica de este estuviera inactiva desde el 23 de enero de 2019 hasta el 14 de julio de 2020. En consecuencia, al realizar una búsqueda de la historia clínica de la parte reclamante usando los parámetros establecidos en el protocolo correspondiente (nombre y apellidos), aparecía la historia clínica del tercero con el compartía nombre, apellidos y fecha de nacimiento. Esta situación concreta fue solventada por el SERVICIO de SALUD el 15 de julio de 2020 mediante la asignación de un nuevo Código de Identificación Personal Autonómico (CIPA). - Por otra parte, la segunda de las situaciones, ocurrida en el año 2023, impidió que, de manera puntual, se encontrara a la parte reclamante en la base de datos del SERVICIO SALUD, sin que en ningún caso se hubiese producido una baja por duplicidad en el sistema, se hubieran vinculado sus datos a ningún otro usuario o su historia clínica se encontrara inactiva. Así, la Base de Datos de Población Protegida (BDPPSNS), no muestra que se hayan producido cambios respecto a la parte reclamante desde el 15 de julio de 2020, fecha en la que la parte reclamada le asignó otro Código de Identificación Personal Autonómico (CIPA), y recoge correctamente los datos (nombre, apellidos, DNI, CIPSNS, CIPA y NAF) de la parte reclamante. Atendiendo a lo anterior, tal y como se ha indicado, ambas situaciones no son equiparables y únicamente la primera de ellas daría lugar a posibles infracciones en materia de protección de datos. En lo referente a las actuaciones seguidas por la parte reclamada tras los hechos acontecidos en el primero de los supuestos, que sí podrían ser constitutivos de infracción, destaca, la decisión adoptada por la parte reclamada de utilizar el Código de Identificación Personal Autonómico (CIPA) como dato unívoco de identificación, lo que permite evitar errores en la búsqueda de pacientes mediante los parámetros de nombre y apellidos, así como cotejar su inclusión en las diferentes bases de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 En este sentido, el Departamento de Coordinación de Calidad y Seguridad Asistencial llevó a cabo una divulgación generalizada a través de documentos informativos que se publicaron y difundieron en la Newsletter de la organización, que se distribuye por correo electrónico a toda la plantilla. Aportan capturas de los artículos de la Newsletter del 11 de octubre de 2022 y del 9 de febrero del 2023. Con ello, consta la adopción de medidas para evitar supuestos como este al menos desde octubre de 2022. Las posibles infracciones que hubieran podido cometerse en relación con estos hechos, tendrían un plazo de prescripción, conforme al artículo 73 de la LOPDGDD, de 2 años: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  7. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.
  8. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.” Por lo tanto, con base en lo indicado en los párrafos anteriores, las posibles infracciones que hubieran podido cometerse estarían prescritas. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO RIOJANO DE SALUD y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.