AI-00399-2022

1/5  Expediente N.º: EXP202208924 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 8 de agosto de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la GERENCIA REGIONAL DE SALUD DE CASTILLA Y LEÓN, con NIF Q4700608E (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Vulneración del principio de confidencialidad y de las medidas de seguridad. Acudió al Hospital Universitario de ***LOCALIDAD.1, Área de Reproducción Humana, para solicitar la realización de una prueba médica. Situación que fue comunicada al médico de IVI ***LOCALIDAD.1 que trataba a la reclamante de forma particular desde hace un tiempo. Dicho facultativo también presta sus servicios en el hospital reclamado. Aporta copia de una hoja de reclamaciones y la respuesta recibida de IVI de Bilbao, y que suscribe en su totalidad IVI de ***LOCALIDAD.1, donde se reconoce que desde el hospital reclamado se llamó al médico para informarle de que la reclamante había solicitado la realización de una prueba médica que no cubre la sanidad pública y que habría sido solicitada por el propio médico. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de septiembre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 30 de septiembre de 2022 se recibe en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente: En primer lugar, señala que todos los profesionales sanitarios del Hospital Universitario de ***LOCALIDAD.1 firman un acuerdo de confidencialidad en el momento de su nombramiento. La reclamante tiene una primera cita para reproducción humana el día 10 de marzo de 2022, derivada por el médico de asistencia primaria y no acude a dicha cita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 El médico del IVI de ***LOCALIDAD.1 al que se refiere la reclamante presta servicios en el Hospital Universitario de ***LOCALIDAD.1 y tiene compatibilidad autorizada para el ejercicio privado desde el día 19 de julio de 2018. TERCERO: Con fecha 8 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Principios relativos al tratamiento La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Hechos objeto de reclamación La reclamación presentada incluye el relato pormenorizado de los hechos sucedidos durante el tratamiento efectuado por la reclamante en el IVI de ***LOCALIDAD.1, dirigido por un médico que también trabaja en el Hospital Universitario de ***LOCALIDAD.1. A los efectos del posible incumplimiento de la normativa de protección de datos, el problema planteado es el siguiente: al solicitar una prueba médica concreta en el Hospital de ***LOCALIDAD.1 se informó de ello al Jefe de Servicio que la había solicitado. Se explica en la propia documentación aportada por la reclamante lo siguiente: “Al intentar ustedes realizar la prueba indicada por el Dr. B.B.B. en el HOSPITAL UNIVERSITARIO DE ***LOCALIDAD.1, el personal se sorprendió y contactó directamente con él, dado que el Dr. B.B.B. también trabaja en ese Hospital, y este confirmó al HOSPITAL UNIVERSITARIO DE ***LOCALIDAD.1 que la prueba que les había indicado no se realizaba allí. Después de eso, el Dr. B.B.B. contactó con su equipo de IVI ***LOCALIDAD.1 con la intención de reorientarles en la realización de dicha prueba para que les informasen de cuál era la prueba correcta.” La parte reclamante indica, en primer lugar, que se han vulnerado las medidas de seguridad por parte del HOSPITAL UNIVERSITARIO DE ***LOCALIDAD.1. El posible responsable de esta actuación objeto de reclamación se consideraría la Gerencia de Salud de Castilla y León. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 En este sentido ha de señalarse que no se han vulnerado tales medidas ya que el Dr. B.B.B. pidió unas pruebas y al ir a realizarlas la parte reclamante le informaron que esa prueba no se hacía en ese Centro sanitario. Y teniendo en cuenta que el profesional que accedió a la información desempeñaba allí (en el HOSPITAL UNIVERSITARIO DE ***LOCALIDAD.1) sus funciones, no puede establecerse que haya habido una brecha de seguridad. Este hecho no supone ninguna vulneración de las medidas de seguridad, de conformidad con lo establecido en el artículo 32 del RGPD reseñado con anterioridad. Muy ligado a esa reclamación de vulneración de las medidas de seguridad, señala la parte reclamante, en segundo lugar, que se ha vulnerado la confidencialidad de sus datos personales. Para que se produzca esta infracción es necesario que se informe a un tercero que no tiene que conocer los datos personales de éstos. En el supuesto presente no se ha producido esta comunicación indebida de datos a un tercero, ya que se informó al medido prescriptor de una prueba médica que en el HOSPITAL UNIVERSITARIO DE ***LOCALIDAD.1 no se realizaba tal prueba; se informó de ello al médico que la había solicitado, luego los datos personales de la parte reclamante no fueron comunicados a ningún tercero. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y a la GERENCIA REGIONAL DE SALUD DE CASTILLA Y LEÓN. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es