1/7 Expediente Nº: E/00096/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERIA DE SANIDAD DE LA COMUNIDAD VALENCIANA, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de diciembre de 2012, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que declara lo siguiente: Que el programa ABUCASIS, cuya responsable es la Conselleria de Sanidad de la Comunidad Valenciana, gestiona los datos clínicos de los Valencianos, y ha sido subcontratado a otra empresa distinta de la Adjudicataria; además, en el Contrato no se estipula ninguna cláusula relativa a Protección de Datos. Aporta copia de un artículo publicado en el Diario Levante en el que se afirma que la empresa DINAMIZ-E gestionó y llevo el mantenimiento del sistema ABUCASIS de la Conselleria de Sanidad como empresa subcontratada. Asimismo, acompaña copia del contrato de prestación de servicios suscrito entre la Agencia Valenciana de Salud y la UTE Capgemini España SLU – Dimensión Informática S.L. cuyo objeto es la implantación del programa ABUCASIS de acuerdo con el Pliego de Cláusulas Administrativas y Prescripciones Técnicas. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 17 de mayo de 2013, LA AGENCIA VALENCIANA DE SALUD de la CONSELLERIA DE SANIDAD DE LA GENERALITAT VALENCIANA ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: - Aportan un CD que contiene los documentos relativos a los tres expedientes (374/2008, 360/209 y 589/2010) que se han tramitado en relación con el sistema ABUCASIS y que contiene la siguiente documentación: Expediente 374/2008: Asistencia Técnica para la adecuación funcional del proyecto ABUCASIS para la atención ambulatoria y su integración con las aplicaciones SISAM: 1. PLIEGOS DE CLAUSULAS ADMINISTRATIVAS y CONDICIONES TECNICAS: En el segundo se incluye en el punto 9 “Condiciones Generales” una cláusula de Confidencialidad en la que consta: “La empresa adjudicataria queda obligada al cumplimiento de los dispuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 en la Ley Orgánica 15/1999, de Protección de Datos de carácter personal y en el Real Decreto 994/1999, de 11 de junio, de Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal”. Así mismo, se estipula que: La empresa adjudicataria únicamente tratará los datos incluidos en el fichero de acuerdo con las instrucciones del responsable del mismo y no los utilizara con fines distintos a los que figuren en el Contrato y no los comunicará ni siquiera para su conservación a otras empresas. Una vez finalizada la prestación contractual, todas las copias de que dispongan serán destruidas o devueltas al responsable del fichero. Deberán mantener en todo momento la privacidad de la información, garantizando la confidencialidad de la información a la que tengan acceso en función de los Servicios contratados. 2. Documento de adjudicación del contrato a la empresa DIMENSION INFORMATICA S.L., de fecha 30 de junio de 2008. 3. Contrato suscrito con la empresa adjudicataria, de fecha 1 de julio de 2008, en el que se prevé su finalización con fecha 30 de junio de 2010. 4. Prórroga del contrato suscrito con la empresa adjudicataria (ahora INDRA SISTEMAS S.A.), de fecha 1 de julio de 2010 hasta el 31 de octubre de 2010. 5. Nueva Prórroga del contrato de fecha 1 de noviembre de 2010 hasta el 31 de diciembre de 2010 (fecha en el que según manifiestan finalizó el contrato). Expediente 360/2009: Servicio de apoyo en el lanzamiento, supervisión y seguimiento de procesos de bases de datos al área de Informática, telecomunicaciones y Organización en el ámbito del proyecto ABUCASIS. 1. PLIEGOS DE CLAUSULAS ADMINISTRATIVAS y CONDICIONES TECNICAS: En el segundo se incluye en el punto 4 “Condiciones Generales” una cláusula de Confidencialidad en la que consta: “La empresa adjudicataria queda obligada al cumplimiento de los dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de carácter personal y en el Real Decreto 994/1999, de 11 de junio, de Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal”. Así mismo, se estipula que: La empresa adjudicataria únicamente tratará los datos incluidos en el fichero de acuerdo con las instrucciones del responsable del mismo y no los utilizara con fines distintos a los que figuren en el Contrato y no los comunicará ni siquiera para su conservación a otras empresas. Una vez finalizada la prestación contractual, todas las copias de que dispongan serán destruidas o devueltas al responsable del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Deberán mantener en todo momento la privacidad de la información, garantizando la confidencialidad de la información a la que tengan acceso en función de los Servicios contratados. 2. Documento de adjudicación del contrato a la empresa INDRA SISTEMAS S.L. de fecha 31 de julio de 2009. 3. Contrato suscrito con la empresa adjudicataria de fecha 15 de septiembre de 2009 en el que se prevé un plazo de ejecución de doce meses. (la fecha en la que, según manifiestan, finalizó el contrato es en octubre de 2010). Expediente 589/2010: Evolución tecnológica y funcional de las Aplicaciones del proyecto ABUCASIS, SIA DMSIA Y CENTINELA, así como auditoria y seguimiento de la calidad del software de la aplicación SIA. 1. PLIEGOS DE CLAUSULAS ADMINISTRATIVAS y CONDICIONES TECNICAS: En el segundo se incluye en el punto 7 “Requerimientos Técnicos” “Seguridad” una cláusula en la que consta: “Los elementos de Seguridad de este sistema tienen valor estratégico. Dada la criticidad del mismo y la naturaleza de los datos de carácter personal, que requieren el más alto nivel de protección de los datos que establecen, tanto la Ley Orgánica 15/1999, de Protección de Datos de carácter personal y en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el desarrollo de la citada Ley, las medidas de seguridad implementadas garantizan: La identidad de los agentes implicados en la comunicación. La privacidad de la información objeto de intercambio, de forma que no sea revelada a terceros de ninguna forma ni intencionada ni accidentalmente. La integridad de la información garantizando que la información recibida no ha sido manipulada en ningún punto de la comunicación”. La garantía de no repudio.”. 2. Documento de adjudicación del contrato a las empresas INDRA SISTEMAS S.A. (LOTES 1 Y 3) y a ITACA de la UNIVERSIDAD POLITECNICA DE VALENCIA (LOTE 2). 3. Contrato suscrito con la empresa adjudicataria: INDRA SISTEMAS S.A. de fecha 31 de mayo de 2011. 4. Copia del contrato suscrito con la segunda adjudicataria INSTITUTO DE APLICACIONES DE LAS TECNOLOGÍAS DE LA INFORMACION Y DE LAS COMUNICACIONES AVANZADAS (ITACA), de fecha 1 de junio de 2011. 5. Según manifiestan ambas partes se encuentran en vigor. Respecto al domicilio en el que se realizan los trabajos incluidos en la prestación de servicios indican: 1. Los correspondientes a los lotes 1 y 3 en INDRA SISTEMAS (Valencia) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 2. Los correspondientes al lote 2 en ITACA – Universidad Politécnica de Valencia, aunque los servicios incluidos en este lote no suponen la gestión ni el acceso a datos personales. Por otra parte, manifiestan que no les consta que se haya realizado subcontratación en ninguno de los servicios. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en que la Conselleria de Sanidad de la Comunidad Valenciana es responsable de un programa que gestiona los datos clínicos de los Valencianos, y ha sido subcontratado a otra empresa distinta de la Adjudicataria; además, en el Contrato no se estipula ninguna cláusula relativa a Protección de Datos. La gestión de historias clínicas es un servicio que presta la Consellería de Sanidad de la Comunidad Valenciana, y que efectúa a través del programa ABUCASIS, teniendo facultades legales para contratarlo con un tercero, en base a lo establecido en el artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, que establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En este sentido, la Audiencia Nacional en sus Sentencias ha declarado que <<para tener la condición legal de encargado del tratamiento, al que por cierto le es de aplicación el régimen sancionador que establece la Ley Orgánica 15/1999, según dispone el artículo 43.1 de la expresada Ley, es necesario cumplir una serie de exigencias necesarias, que operan a modo de garantías, establecidas en el artículo 12 de la Ley Orgánica 15/1999. Así es, cuando el tratamiento se realice por cuenta de un tercero debe constar “por escrito o en alguna otra forma que permita acreditar su celebración y contenido”, por lo que no basta con acreditar que existe una relación jurídica entre el responsable del fichero y el encargado del tratamiento, sino que ésta ha de constar por escrito o por otra forma que permita acreditar su “celebración y contenido”. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo) y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Pues bien en el caso examinado, la repetición de una práctica reiterada mensualmente en la impresión de nóminas pudiera, en el mejor de los casos, acreditar una relación contractual, pero no de la naturaleza y características que establece el artículo 12, pues no acredita el contenido de la relación, ni expresamente contiene la advertencia de que el encargado del tratamiento “únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con un fin distinto al que figure en dicho contrato, ni los comunicará (...) a otras personas”, párrafo segundo del citado precepto>>. En el presente caso, ha quedado constatado que existe formalizado contrato entre la Consellería de Sanidad de la Generalitat Valenciana con INDRA SISTEMAS, S.A., y con ITACA. En ambos casos, en el Pliego de Condiciones se exige el cumplimiento de las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad… En cuanto a las subcontrataciones, el artículo 21 del Real Decreto 1720/2007 de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece lo siguiente: 1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:
- a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
- b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
- c)Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior. En consecuencia, cabría tal subcontratación si se dieran los presupuestos señalados. No obstante, la Agencia Valenciana de Salut ha informado que no les consta la subcontratación de los servicios. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 4. PROCEDER AL ARCHIVO de las presentes actuaciones. 5. NOTIFICAR la presente Resolución a CONSEJERIA DE SANIDAD DE LA COMUNIDAD VALENCIANA y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es