1/13 Expediente N.º: EXP202406373 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 15 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la CONSEJERÍA DE SANIDAD y al HOSPITAL UNIVERSITARIO 12 DE OCTUBRE con NIF S7800001E y Q2877010E (en adelante la CONSEJERÍA y el HOSPITAL). Los hechos que se pone en conocimiento de esta autoridad son: La parte reclamante manifiesta que, en el HOSPITAL, disponen de una cámara de videovigilancia operativa en una de las habitaciones de la ***PLANTA.1, sin que sean informados los enfermos y visitantes de su existencia y finalidad. Aporta fotografías de la cámara y orientación. Junto al escrito, se aportan dos fotografías, una de la cámara y otra de su situación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la CONSEJERÍA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 25 de abril de 2024 como consta en el certificado expedido por el servicio de Dirección Electrónica Habilitada Única (DEHÚ). TERCERO: Con fecha 27 de mayo de 2024, se recibe en esta Agencia escrito de respuesta al traslado de la citada reclamación. El Comité Delegado de Protección de Datos de la CONSEJERÍA, en su respuesta a esta Agencia, realiza las siguientes consideraciones (* el texto subrayado aparece resaltado en la respuesta): (….) la videovigilancia permite la captación, y en su caso la grabación, de información personal en forma de imágenes. En este sentido, la instalación de cámaras, con diversas finalidades como podría ser la seguridad, el control laboral o incluso la monitorización de una UVI, supondría un tratamiento de datos de carácter personal y, en consecuencia, se le aplicaría la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 Ahora bien, para el presente caso objeto de requerimiento, sin perjuicio de la instalación de cámaras en centros de salud y hospitales con la finalidad de garantizar la seguridad, la toma y grabaciones de imágenes podrían usarse con la finalidad de asegurar un tratamiento adecuado de la salud. En este caso, el uso de cámaras con fines sanitarios, tendría su base jurídica de legitimación en el cumplimiento de una obligación legal aplicable al Responsable [art.6.1
- c)RGPD] derivada de la legislación sanitaria, y la prohibición general para el tratamiento de datos de categoría especial estaría excepcionada por los artículos 9.2.
- c)y 9.2.h). El primer artículo hace referencia a la necesidad de proteger los intereses vitales del afectado, cuando este se encuentra incapacitado física o jurídicamente para dar su consentimiento. En el Anexo I de la respuesta, se recoge: […] En la habitación ***HABITACIÓN.1 de la ***PLANTA.1 del Hospital Universitario 12 de Octubre únicamente una (1 cámara) sola cámara. Se adjunta documento 1 que contiene: - Fotografía de la puerta de entrada a la habitación ***HABITACIÓN.1. Fotografía de una cámara interior de la citada habitación. Fotografía de una cámara situada en el techo. Fotografía de una captura de pantalla, se puede ver el interior de una habitación, manifiestan que es de la habitación objeto de la reclamación, se pueden ver dos camas y a dos personas. Fotografía de control de enfermería (frontal), en uno de los ordenadores se puede ver la imagen del párrafo anterior. Fotografía de control de enfermería (trasera), según hacen constar en el escrito. Fotografía de un cartel con la imagen de una cámara de video con un texto que se reproduce a continuación: Para garantizar su seguridad desde el punto de vista médico, dado que se encuentra ingresado en una zona de cuidados intermedios, con un cuadro potencialmente grave, hay instalada una cámara en esta habitación, para el cumplimiento de una obligación legal, de conformidad con el artículo 6.1.
- c)del Reglamento Europeo de Protección de Datos (RGPD) 2016/679, emanada de la Ley 14/1986, de 25 de abril, General de Sanidad y Ley 12/2001, de 21 de diciembre, de Ordenación Sanitaria de la Comunidad de Madrid. La finalidad de dicha cámara es exclusivamente sanitaria, dirigida a garantizar la calidad asistencial del paciente (por ejemplo, evitar caídas, detectar empeoramiento o discriminar entre falsa y verdaderas alarmas del sistema de monitorización). EN NINGUN CASO EXISTE GRABACIÓN DE IMÁGENES. La captura de imágenes se realiza desde el control de enfermería y es atendida exclusivamente por personal sanitario (médicos, enfermeras y TCAE). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 Puede ejercer sus derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición ante el Responsable del Tratamiento: Hospital Universitario 12 de Octubre, dirigiéndose al Servicio de Atención al Paciente de este Hospital. Manifiesta que, a la entrada del edificio del Hospital Universitario 12 de Octubre en adelante, el HOSPITAL, ya se informa de que es una zona videovigilada, adjunta: - Fotografías de la entrada al edificio, donde se observa el cartel informativo de zona videovigilada (documento 2). Se adjunta fotografías de la entrada al HOSPITAL, donde se observa el cartel de zona de videovigilancia. El sistema de videovigilancia ha sido instalado por el personal del Servicio de Informática interno del Hospital a instancias de la Dirección, sin que intervengan terceras empresas en el tratamiento de datos. Las imágenes solo son accesibles el propio personal sanitario o el personal de informática. El sistema arriba citado, opera sin almacenar ni grabar imágenes, funciona exclusivamente en tiempo real, por lo que no existe plazo de conservación de imágenes, al no haber grabación. Como información adicional que pueda ser relevante para el procedimiento, la CONSEJERÍA y el HOSPITAL, comunican aspectos clave que subrayan nuestro compromiso con el cumplimiento del Reglamento General de Protección de Datos. - Realización de Evaluación de Impacto sobre la Protección de Datos (EIPD). Conscientes de la sensibilidad que implica el uso de sistemas de videovigilancia, hemos realizado una EIPD antes de implementar nuestro sistema actual. Esta evaluación nos ha permitido identificar y mitigar los riesgos potenciales para los derechos y libertades de los pacientes, particularmente en lo que respecta a la privacidad y la protección de sus datos personales. - Inclusión del tratamiento en el Registro de Actividades de Tratamiento (RAT). El Hospital cuenta con un Registro de Actividades de Tratamiento actualizado, en el que se encuentra el presente tratamiento, como se puede consultar a través de https://www.comunidad.madrid/gobierno/informacionjuridica-legislacion/registro-actividades-tratamiento-rat - Adopción de medidas de seguridad y formación del personal. Para el presente tratamiento se han adoptado medidas técnicas y organizativas para garantizar la seguridad de los datos personales tratados a través del presente sistema de videovigilancia. Esto incluye, entre otras medidas, la encriptación de las transmisiones de datos, uso exclusivo de la red interna del hospital, acceso restringido basado en roles y monitorización continua de la infraestructura. - Adicionalmente, el personal involucrado en la operación y mantenimiento del sistema de videovigilancia recibe formación regular sobre protección de datos y seguridad para asegurar que se adhieran a las mejores prácticas y a la normativa vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 Asimismo, en la respuesta al traslado de la reclamación efectuado por esta Agencia, el Comité Delegado de Protección de Datos de la CONSEJERÍA explica: […] En relación a este punto, el principio de minimización [art.5
- c)RGPD] aplicado a la videovigilancia implica que el tratamiento de las imágenes debe ser el mínimo necesario para cumplir con la finalidad perseguida, por lo que el número de cámaras debe limitarse a lo estrictamente necesario. En este supuesto, en aras de garantizar una adecuada asistencia sanitaria del paciente, se ha configurado una única cámara en la habitación número ***HABITACIÓN.1 de la planta (…). […] El Centro cuenta en todo momento con carteles que avisan sobre la existencia de zonas videovigiladas y que cumplen con la normativa vigente. (…) y en el propio control de enfermería correspondiente a la habitación ***HABITACIÓN.1 – ***PLANTA.1 puede localizarse una hoja informativa relativa al tratamiento de datos con dichos fines. CUARTO: En fecha 15 de julio de 2024 se admitió a trámite la reclamación de acuerdo con lo previsto en el art. 65.5 de la LOPDGDD. QUINTO: El 28 de octubre de 2024 se requiere al HOSPITAL información relacionada con el sistema de videovigilancia objeto de la reclamación, sin que esta autoridad haya recibido contestación al requerimiento. SEXTO: El 15 de noviembre de 2024 se recibe en esta Agencia escrito de la CONSEJERÍA indicando que, en relación con el requerimiento de información, remitido al HOSPITAL el 28 de octubre de 2024, se ha derivado al Comité Delegado de Protección de Datos de la CONSEJERÍA, para el análisis del requerimiento de información. Asimismo, solicitan que, de conformidad con lo previsto en el artículo 32.1 de la LPACAP, se amplíe el plazo establecido para su atención hasta el máximo permitido, se acuerda ampliar el plazo hasta un máximo de diez días, que deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo otorgado. SÉPTIMO: Con fecha 26 de noviembre de 2024 ha tenido entrada una nueva reclamación, de otra reclamante, referida a la CONSEJERÍA. En el escrito se comunica que existen cámaras de videovigilancia dentro de las habitaciones de los pacientes pediátricos del HOSPITAL, siendo menores de edad, sin que figure ningún aviso mediante carteles, ni consentimiento previo. Junto a la reclamación aporta imágenes de una cámara domo dentro de la habitación, su ubicación y orientación, sin cartel de videovigilancia. Con fecha 10 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En fecha 26 de febrero de 2025 se solicita a la CONSEJERÍA ampliación de la información aportada, y en fecha 27 de marzo de 2025 tiene entrada en la sede electrónica de esta Agencia la respuesta. A continuación, se expone los aspectos más relevantes de la información recabada: El Comité Delegado de Protección de Datos de la CONSEJERÍA explica que la instalación de la cámara ubicada en la habitación ***HABITACIÓN.1 se realizó durante la crisis sanitaria del COVID-19, dentro de un contexto de emergencia sanitaria. En este contexto, debemos hacer referencia a la Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19. Las citadas medidas incluidas en la Ley 2/2021 se han mantenido vigentes hasta el 4 de julio de 2023. […] Asimismo, la CONSEJERÍA explica (* el texto subrayado es texto que aparece resaltado en la respuesta): Si bien la Ley 2/2021 mencionada cesó su aplicación el 4 de julio de 2023, la cámara instalada en la habitación ***HABITACIÓN.1 siguió manteniéndose en funcionamiento debido a los resultados positivos que había arrojado la utilización de la misma, pudiendo señalar, por ejemplo, la mejora significativa que se produjo en cuanto a la capacidad de respuesta del personal sanitario ante una necesidad asistencial inmediata. Es por esto por lo que, se decidió incorporar dicha tecnología como parte de su sistema asistencial. En este contexto, la justificación sobre la legitimación del tratamiento de las imágenes captadas por dicha cámara con fines asistenciales es la siguiente: .1 El tratamiento de datos personales para la prestación de asistencia sanitaria en centros públicos tiene su base jurídica de legitimación en cumplimiento de una obligación legal aplicable al responsable y en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos [art.6.1
- c)y
- e)RGPD] derivada de la legislación sanitaria, entre ella, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y la Ley 14/1986, de 25 de abril, General de Sanidad y, la prohibición general está excepcionada por lo dispuesto en el art.9.2.
- c)y
- h)del RGPD. Por todo lo expuesto, podría efectuarse la captación de imágenes para dichos fines, siempre y cuando, a criterio médico, se determine que dicha captación de imágenes es necesaria para prestar una adecuada asistencia sanitaria al paciente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 En adición, es importante señalar la no existencia ni funcionamiento de la cámara de videovigilancia referenciada a fecha de contestación de este requerimiento, [….). Ahora bien, conforme a la situación descrita hasta el momento, por parte del H12O, si bien se mantuvo la cámara en la habitación ***HABITACIÓN.1, no se consideró oportuno -en ese momento- desarrollar un protocolo interno debido a que se tenía presente la elaboración del mismo tras la construcción de un nuevo edificio. (….). Como continuación a la información solicitada la CONSEJERÍA y el HOSPITAL, comunican que la cámara instalada en la habitación ***HABITACIÓN.1, permaneció encendida las 24 horas del día para poder garantizar una correcta monitorización del paciente que se encontrara hospitalizado en ese momento, permitiendo al personal sanitario autorizado, responder de forma rápida y efectiva ante cualquier situación de emergencia o necesidad de asistencia médica inmediata. Asimismo, manifiestan que las cámaras asistenciales instaladas de forma permanente están ubicadas en Unidades específicas que, desde el HOSPITAL, siguiendo igualmente los criterios de los profesionales clínicos, han determinado como críticas, ya sea por la tipología de pacientes o por el tratamiento que se está realizando a los mismos. Generalmente esta criticidad viene derivada de una necesidad de atención y supervisión del paciente las 24 horas del día, siendo especialmente relevante una monitorización constante con el fin de poder prestar una asistencia médica inmediata y eficaz a los pacientes en caso necesario. No existe una instalación indiscriminada de este tipo de cámaras, se han analizado las necesidades propias de cada Unidad y de sus pacientes. Debe aclararse en este sentido que el hecho de que en una Unidad concreta se hayan instalado estas cámaras, no supone que siempre que haya un paciente se conecten. Los profesionales clínicos de las Unidades específicas dotadas de esta capacidad y al cargo del paciente deberán analizar caso por caso si consideran que no existe una verdadera necesidad asistencial, y en tal caso podrán desactivar la visualización de esa cámara para la habitación concreta. Si no hay pacientes en la habitación o el paciente no tiene esa necesidad, la cámara permanece por tanto desconectada y no se visualizarán imágenes en ningún caso. No es necesaria por tanto una instalación y desinstalación de las cámaras cada vez que hay un paciente nuevo o hay una alta médica, lo que supondría interferir en la actividad de la Unidad y retrasos en su puesta en marcha. La cámara estará siempre instalada para ser usada cuando se necesite, pero permanecerá apagada, sin captar imagen, si no es necesaria a criterio clínico. La CONSEJERÍA y el HOSPITAL determinan que las imágenes captadas de la cámara ubicada en la habitación ***HABITACIÓN.1 constituían tratamientos de datos de salud que consideran categorías especiales de datos personales. Sobre estas categorías de datos, el artículo 9.1 del RGPD establece que “quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 No obstante, para salvar dicha prohibición general debe concurrir alguna de las circunstancias descritas en el artículo 9.2 RGPD, además de ser aplicable alguna de las bases de legitimación reguladas en el art. 6.1 RGPD. Por tanto, la instalación de la cámara de videovigilancia en la habitación ***HABITACIÓN.1 derivado de dicho contexto de emergencia, constituyó un tratamiento lícito. Entendiéndose la licitud de dicho tratamiento, por un lado, en base a la obligación legal que existía para las administraciones sanitarias de garantizar medidas organizativas y de prevención en aras de asegurar el bienestar de trabajadores y pacientes [art. 6.1
- c)RGPD], así como en base al cumplimiento de una misión realizada en interés público [art. 6.1
- e)RGPD]. Y, por otro lado, conforme a la excepción del artículo 9.2
- g)e
- i)del RGPD. La justificación sobre la legitimación del tratamiento de las imágenes captadas por las cámaras con fines asistenciales que se aporta es: El tratamiento de datos personales para la prestación de asistencia sanitaria en centros públicos tiene su base jurídica de legitimación en cumplimiento de una obligación legal aplicable al responsable y en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos [art.6.1
- c)y
- e)RGPD] derivada de la legislación sanitaria, entre ella, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y la Ley 14/1986, de 25 de abril, General de Sanidad y, la prohibición general está excepcionada por lo dispuesto en el art.9.2.
- c)y
- h)del RGPD. Por todo lo expuesto, podría efectuarse la captación de imágenes para dichos fines, siempre y cuando, a criterio médico, se determine que dicha captación de imágenes es necesaria para prestar una adecuada asistencia sanitaria al paciente. La CONSEJERÍA y el HOSPITAL explican que en el momento de la instalación de la cámara en la habitación ***HABITACIÓN.1, se consideraba que el cartel general de "zona videovigilada" ubicado a la entrada del edificio era suficiente para informar a pacientes, visitantes y personal del Hospital sobre la existencia de sistemas de videovigilancia en las instalaciones. Este criterio se basaba en el entendimiento de que dicho cartel cumplía con la obligación de informar de manera general sobre el tratamiento de imágenes. Adicionalmente, el protocolo entonces vigente incluía comunicación directa a los pacientes o, en su defecto, a sus familiares y/o representantes al momento del ingreso en la habitación. Se les informaba de la existencia de la cámara y se les indicaba que podían acceder a una hoja informativa detallada sobre el sistema de cámaras asistenciales, disponible en el puesto de control de enfermería correspondiente. Este procedimiento se consideraba adecuado para garantizar el derecho a la información de forma específica, directa y accesible. La CONSEJERÍA señala que la actividad de tratamiento de imágenes con fines asistenciales se encuentra subsumida dentro de la actividad tratamiento de “Documentación Clínica”, enmarcada la misma en el RAT del HOSPITAL. Por tanto, entendiendo que la finalidad concreta de la cámara instalada en la habitación ***HABITACIÓN.1 surge de la necesidad de prestar una adecuada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 asistencia sanitaria, la misma puede entenderse recogida por dicho tratamiento el cual tiene como finalidad la gestión clínica asistencial. […] En cuanto a la finalidad de las imágenes captadas, tal y como se recoge en el punto 3 del “***INFORME.1”, las mismas sirvieron para facilitar la monitorización constante de los pacientes, permitiendo una supervisión continua que mejoraba significativamente la capacidad de respuesta del personal sanitario ante cualquier emergencia o necesidad asistencial inmediata. Lo que acabó demostrando en el análisis posterior a la emergencia sanitaria que la implementación de cámaras mejoraba los tiempos de respuesta, permitiendo una asignación más eficiente de los recursos humanos y contribuyendo a la reducción de incidentes críticos en pacientes hospitalizados. La CONSEJERÍA y el HOSPITAL señalan que la instalación de la cámara ubicada en la habitación ***HABITACIÓN.1 se originó en un contexto muy concreto de emergencia sanitaria, razón por la cual, en ese momento, debido a motivos de gestión de recursos y a la necesidad de premura en las actuaciones sanitarias que se tenían que llevar a cabo, no se realizó en un primer momento una EIPD, ni un Protocolo para determinar y pautar el uso de las cámaras. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III Licitud del tratamiento El artículo 6 del RGPD propugna: Artículo 6. C/ Jorge Juan, 6 28001 – Madrid Licitud del tratamiento. www.aepd.es sedeaepd.gob.es 9/13 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. Asimismo, el artículo 9 del RGPD regula el Tratamiento de categorías especiales de datos personales: 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional. IV Conclusión La reciente STJUE de 24 de septiembre de 2024, en el asunto C-768/2021, señala (el subrayado es de la AEPD): “37 A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde a la autoridad de control, que debe realizar tal elección tomando en consideración todas las circunstancias del caso concreto y cumpliendo con toda la diligencia requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C-311/18, EU:C:2020:559, apartado 112). 38 Sin embargo, este margen de apreciación está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los considerandos 7 y 10 del RGPD … 41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. 44 La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45 Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del considerando 129 de este se desprende que esta disposición tiene por objeto garantizar la conformidad del tratamiento de datos personales con dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C-46/23, EU:C:2024:239, apartado 40). 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.”. El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En el presente caso, los hechos que impulsaron el inicio de actuaciones previas de investigación conforme al artículo 67 de la LOPDGDD -tras la recepción de una reclamación por la AEPD- se referían a la utilización por la reclamada de un sistema de videovigilancia en una habitación del HOSPITAL. Durante las actuaciones previas de investigación se ha comprobado que, efectivamente, el HOSPITAL contaba, con el mencionado sistema: El Comité Delegado de Protección de Datos de la CONSEJERÍA explica que la instalación de la cámara ubicada en la habitación ***HABITACIÓN.1 se realizó durante la crisis sanitaria del COVID-19, dentro de un contexto de emergencia sanitaria. No obstante, se ha procedido al desmantelamiento del sistema de cámaras asistenciales en el HOSPITAL, por lo que el objeto de la reclamación no existe en la actualidad: En adición, es importante señalar la no existencia ni funcionamiento de la cámara de videovigilancia referenciada a fecha de contestación de este requerimiento, ello debido a que se ha producido un cambio de ubicación del H12O y, por tanto, las instalaciones anteriormente mencionadas ya no se corresponden con la realidad. A este respecto, consta en el expediente que la fecha de inicio del desmantelamiento del sistema de cámaras asistenciales en el HOSPITAL es 21 de noviembre de 2024, finalizando este proceso el día 27 de noviembre de 2024 que se retiraron la totalidad de las cámaras asistenciales. En consecuencia, de conformidad con la STJUE de 24 de septiembre de 2024, en el asunto C-768/2021 y atendiendo a las singulares circunstancias que conforman este caso, en particular, la desaparición del sistema de videovigilancia objeto de investigación, esta Agencia considera que no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 SEGUNDO: NOTIFICAR la presente resolución al HOSPITAL UNIVERSITARIO 12 DE OCTUBRE, a la CONSEJERÍA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1451-240725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es