E-00130-2013

1/5 Expediente Nº: E/00130/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Hospital Montepríncipe de Madrid, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de diciembre de 2012, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que denuncia que, con fecha 5 de diciembre de 2010, acudió al servicio de urgencias del Hospital Montepríncipe de Madrid, sito en Boadilla del Monte (Madrid), con su hijo menor, habiéndole sido entregado el informe de urgencias de su hijo y el de otro niño que había sido atendido en ese Servicio de urgencias. La denuncia se interpone en esta fecha porque el Informe ha permanecido hasta esa fecha en poder del Juzgado de Instrucción nº 1 de Móstoles por una querella penal contra dicho Hospital. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 28 de junio de 2013, se recibe en esta Agencia escrito del Hospital de Madrid, S.A, en el que ponen de manifiesto que: 1.1. Han tenido conocimiento a través del escrito de solicitud de información remitido por esta Agencia de que, con fecha 5 de diciembre de 2010, existió un error involuntario en la entrega de un Informe de Urgencias. 1.2. Este error involuntario se debió a los siguientes acontecimientos: 1.2.1.En fecha 5 de diciembre de 2010, el Hospital Montepríncipe fueron atendidas una gran cantidad de urgencias, probablemente debida a la época de que se trataba y las infecciones por la gripe A. 1.2.2.En el horario en que fue entregado el informe se dieron 12 altas a menores con sus respectivos Informes. Los dos menores a los que corresponden los informes fueron atendidos por la misma doctora, firmando con posterioridad los Informes de Alta casi simultáneamente. 1.2.3.Se confeccionan dos copias del Informe, una para el interesado y otra para la Administración del Hospital, en este caso debió mezclarse la copia de uno con el siguiente Informe de Alta correspondiente al hijo de la denunciante. 1.2.4.Por este motivo el Hospital no podía tener conocimiento, ya que los dos Informes fueron entregados a sus destinatarios, y tampoco les había sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 notificado por parte de los afectados. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD dispone lo siguiente: "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El mencionado artículo 10 contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este caso, ese deber de secreto comporta que el Hospital Montepríncipe de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Madrid, responsable de los datos personales relativos a la salud de los pacientes tratados en el, no puede revelar ni dar a conocer su contenido a terceros, salvo con consentimiento expreso de los afectados o en los casos autorizados por la ley, recordando que el 7.3 señala: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente.” III Es un hecho reconocido tanto por la denunciante como por la entidad denunciada que el 5 de diciembre de 2010 a la denunciante se le entregó un informe de alta de su hijo y otro informe de alta de otro niño. El Hospital Montepríncipe ha indicado que ambos niños fueron atendidos en el mencionado Centro Hospitalario en unos momentos de numerosas urgencias debido a la gripe A y que ambos niños fueron dados de alta con unos minutos de diferencia, lo que propició que se entregarán los dos informes a una misma persona. La conducta de la entidad denunciada se incardina en el artículo 44.3.
2. d)de la LOPD que indica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En estas Actuaciones Previas de Investigación se ha acreditado que la entidad denunciada ha divulgado los datos de salud de un paciente al entregarle datos relativos a su salud a la madre de otro paciente, denunciante en este procedimiento. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28/01/1981, ratificado por España en fecha 27/01/1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección, de tal forma que, como indica el citado Convenio, tales datos “no podrán tratarse automatizadamente a menos que el derecho interno prevea garantías adecuadas” El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. Dado que ha existido una vulneración en el deber de secreto por parte del Hospital Montepríncipe en relación a datos de salud, se considera que ha incurrido en la infracción descrita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 El hecho constatado de la difusión de datos personales fuera del ámbito del denunciado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. No obstante lo anterior, el artículo 47 de la LOPD establece, en sus apartados 1, 2 y 3, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Los hechos sucedieron el día 5 de diciembre de 2010, fecha en que acudió con su hijo a Urgencias y le facilitaron el informe de alta del menor junto con el de otro niño. La denuncia fue registrada de entrada en esta Agencia en fecha 14 de diciembre de 2012, cumplidos dos años desde que sucedieron los hechos denunciados. La denuncia fue clasificada, estudiada y asignada al inspector para su investigación, con la finalidad de verificar el sistema de entrega de la documentación médica y las medidas de seguridad incorporadas, comprobando que cumple dichas medidas de seguridad, si bien se produjo un error administrativo al entregar el informe de alta. No puede iniciarse procedimiento sancionador a la entidad denunciada ya que cuando se recibió la denuncia habían transcurrido más de dos años desde que se produjo la entrega del informe de alta de otro niño a la denunciante, habiendo prescrito la infracción cometida. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Hospital Montepríncipe de Madrid y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es