E-00324-2015

1/11 Expediente Nº: E/00324/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad HOSPITAL PADRE JOFRÉ en virtud de denuncia presentada por Dª. A.A.A. y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha de 22 de diciembre de 2014 tiene entrada en esta Agencia un escrito de Dª. A.A.A. en el que declara la existencia de graves carencias en la seguridad, confidencialidad y control de acceso en el tratamiento de las Historias Clínicas (en adelante HC) de los pacientes del HOSPITAL. Mediante correo electrónico la denunciante aporta fotografías en las que se aprecia: - Una serie de armarios en los que aparecen carpetas de paciente. Dichos armarios no cuentan con puertas que permitan cerrarlos para su protección. Informa la denunciante que se trata de armarios situados en zonas de fácil acceso. - Las carpetas muestran el número de habitación así como el nombre del paciente, con grandes caracteres. - Hoja de evolución conjunta. Relata el denunciante que en la misma pueden realizar anotaciones diferentes profesionales que traten al paciente (médicos, enfermeras, terapeutas ocupacionales, trabajadores sociales). En la hoja aportada se ve la fecha de la anotación, unas líneas con la anotación del profesional y la firma del mismo. - Correo electrónico de fecha 28/10/2014 remitido por D. C.C.C. a dos listas de distribución en que remite el acta de una reunión. Se comunica en dicha acta que la Guía de Uso de la Historia Clínica es un documento de obligatorio cumplimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha 28 de septiembre de 2015 se realizó visita de inspección al HOSPITAL PADRE JOFRÉ. Durante la misma, los representantes del HOSPITAL realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. El Hospital depende jerárquicamente de la Consejería de Sanidad de la CCAA. de Valencia. Aportan copia del Documento de Seguridad, así como de la Guía de Uso de la Historia Clínica (en adelante HC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Examinado dicho documento se aprecia que cuenta con un apartado específico dedicado a la “CONFIDENCIALIDAD DE LA HISTORIA CLÍNICA” y, dentro de este, un punto dedicado a “Derecho de acceso a la Historia Clínica de los profesionales sanitarios e instituciones” en el que se establecen los perfiles que tendrán acceso a las HC, donde figura: <<

1. a)Los profesionales asistenciales del centro implicados en el diagnóstico o el tratamiento del paciente tendrán libre acceso a su HC. Cada centro establecerá los mecanismos para hacer posible dicho acceso en el momento asistencial que sea necesario. ..
2. d)El personal encargado de tareas administrativas y de gestión de los centros sanitarios podrá acceder exclusivamente a los datos de la HG relacionados con dichas funciones…
3. f)Toda persona que en el ejercicio de sus funciones o competencias tenga conocimiento de datos e información contenidos en las HHGG, queda sujeto al deber de guardar secreto de los mismos.>> b. El personal de la entidad conoce sus obligaciones respecto de las medidas de seguridad de la documentación que contiene datos de carácter personal mediante diversas formas: 2 - El personal tiene acceso a la Guía de Uso de la HC, que se encuentra disponible para todo el personal en la intranet del Hospital. - Al personal de nuevo ingreso al servicio del Hospital se le imparte un CURSO BÁSICO DE INTRODUCCIÓN A LA ACTIVIDAD EN EL HOSPITAL. Dicho curso incluye un tiempo dedicado a la Ley de Protección de Datos. Los inspectores de la Agencia solicitan al representante de HOSPITAL que les permita el acceso a las instalaciones donde se realizan las siguientes comprobaciones: a. Informan los representantes del Hospital que toda la HC está en soporte papel. Muestran el archivo en el que se almacenan las HC que no están en uso, se comprueba que: - La sala está cerrada con llave. - Existe una cámara de seguridad enfocando a la zona de la puerta del archivo. - Las HC se encuentran, identificadas por un número. Informan que las llaves de dicho archivo está custodiada por personal del Departamento de Admisión, único autorizado a acceder a dicho archivo. b. Se accede a la planta del Hospital de Día de la Unidad de Psiquiatría. Se comprueba que: C/ Jorge Juan, 6 28001 – Madrid - La sala de enfermería está en uso, habiendo varias enfermeras en ella. - La sala dispone de una llave, así como de un cartel informativo de www.agpd.es sedeagpd.gob.es 3/11 que el acceso está restringido a personal autorizado. - En la sala existe un armario que dispone de llave, en el cual están almacenadas las Historias Clínicas de los pacientes. En el momento de la llegada de los inspectores el armario se encontraba cerrado. - Los inspectores solicitan la apertura del armario comprobándose que en su interior hay diferentes carpetas identificadas con el nombre de los pacientes que son tratados en el hospital de día. - A dichas historias clínicas acceden los médicos, psicólogos, trabajadores sociales y terapeutas ocupacionales. Informan las enfermeras que la llave de dicho armario es custodiada por personal de enfermería, que el hospital de día cierra sus puertas a las 5 de la tarde y que la llave de la sala de enfermería es entregada al personal de seguridad, que la custodia hasta el día siguiente en que se abren de nuevo las puertas. c. Se accede al planta 1ª de Hospitalización, en donde se comprueba que: - La puerta de acceso a dicha planta está cerrada y tiene un control de acceso similar a un portero electrónico. Tras llamar al mismo, la puerta se abre. - Al otro lado de la puerta se puede comprobar que existe una cámara enfocando al acceso, de forma que es imposible entrar o salir sin ser filmado por dicha cámara. En el pasillo de acceso a los enfermos existe un total de cinco cámaras, que cubren todo el pasillo. - Existe una sala de enfermería enfrente de la cual hay un vigilante de seguridad. Tras entrar en la sala de enfermería se comprueba que no existen HC almacenadas en ella. Existe un libro de control de entrada/salida de HC, del que se realizan fotografías de la portada y primera página. El dicho libro se registran todo el personal que solicita acceso a una historia clínica con fecha de entrada y salida. Se verifica que el libro se inicia en septiembre de 2013 y está cumplimentado hasta la fecha de la inspección. - Se pasa a un pasillo interno, de acceso restringido a personal del Hospital, en el que se comprueba que hay tres despachos. Informan los representantes del Hospital que dichos despachos son utilizados de forma indistinta por los distintos profesionales que atienden a los pacientes -psiquiatras, psicólogos y terapeutas ocupacionales-. - Dichos despachos disponen de dos puertas, una que da al pasillo de acceso restringido, y otra que da acceso al pasillo de pacientes. Los representantes del Hospital manifiestan que los pacientes entran a las consultas a través de las puertas que dan al pasillo de pacientes. - Tras acceder a uno de los despachos se comprueba que dentro del mismo existe un armario cerrado con llave donde según manifiestan los representantes del hospital se encuentran almacenadas las historias clínicas de los pacientes que en ese momento están ingresados en la planta. Tras abrirlo se encuentra dentro de él una serie de carpetas conteniendo HC. Dichas HC están almacenadas en carpetas de anillas e identificadas con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 nombre del paciente en lomo y en la portada, en grandes caracteres. Señalan los representantes del Hospital que están identificadas por nombre, por razones de eficacia y de seguridad a la hora de atender a los pacientes. Informan igualmente que la llave del armario en el que se guardan las HC se custodia en la sala de enfermería. - Se accede a uno de las HC al azar, verificándose que en la misma existen una serie de apartados, que incluyen informes clínicos, procesos de derivación, hoja de evolución conjunta, etc. Informan los representantes del Hospital que la hoja de evolución conjunta es el documento en que escriben todos los profesionales del Hospital, de forma correlativa en el tiempo, para evitar que pueda desaparecer información relevante al tratamiento del paciente, pues cada profesional que atiende al paciente refleja la fecha y los hechos relevantes, así como firma la anotación. Se verifica que hay un mínimo de tres anotaciones diarias, ya que cada turno de enfermería –tres diarios- hace al menos una anotación, a las que se añaden las anotaciones de los profesionales que ese día atienden al paciente, lo que permite conocer su evolución en el tiempo. Estos procedimientos están implantados desde hace 10 años. Los representantes de la entidad manifiestan que, la Dra. A.A.A. no seguía el protocolo de evaluación conjunta, y sus anotaciones las hacía en hojas independientes al resto de sus compañeros. Este aspecto ha sido verificado por los inspectores en una HC mostrado a los inspectores actuantes en la que intervino dicha doctora. Esto motivó a la Dirección del Hospital a que, en julio de 2014, mediante nota de régimen interior, remitiese la guía de uso de la HC a cada uno de los facultativos, haciéndoles firmar un recibí de la misma. Aportan copia de dicho documento así como de los recibís de los facultativos. d. Se accede a la planta 2ª de Hospitalización, en donde se comprueba que se siguen los mismos protocolos de control de acceso, distribución de cámaras de seguridad, distribución de despachos y pasillos que en la 1ª planta. Se accede a uno de los despachos y se verifica que dentro del mismo existe un armario cerrado con llave, dentro del cual se encuentran las HC de los pacientes que se encuentran ingresados en la planta. e. Se muestran a los representantes del Hospital las fotografías aportadas por la denunciante de armarios abiertos, sin puerta ni cerradura. Manifiestan los representantes de la entidad que se trata de fotografías antiguas, que dichos armarios actualmente ya disponen de llave. La primera de las fotografías es de un despacho de salud mental, de los que ya han sido mostrados a los inspectores, la segunda fotografía es el control de enfermería del área médica integral 1C, que se procede a visitar, comprobándose que dicho armario actualmente cuenta con puerta y cerradura. En el momento de la visita el armario está abierto, y hay tres enfermeras trabajando en ese momento en dicho control. Manifiestan los representantes del Hospital que el armario está abierto ese momento por estar en uso, durante el tiempo que no lo está permanece cerrado, y la llave es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 custodiada por el personal de enfermería. 3 Los inspectores solicitan visitar el despacho del doctor D. C.C.C. en compañía del citado doctor. Se comprueba que se encuentra cerrado con llave y es el propio doctor quien abre la puerta. Se verifica que en su interior no hay ningún armario con HC archivadas. El doctor manifiesta que cuando necesita una HC necesita pasar el protocolo es decir, debe solicitarlo a la enfermería de la planta y firmar en el libro de registro de HC. 4 Los representantes del hospital manifiestan que han tenido problemas con la doctora Dª. A.A.A., lo que ha motivado que desde distintas instancias hayan solicitado información. Aportan distintos informes con fechas 17/3/2015 y 19/6/2015 motivados por una reclamación al Defensor del Pueblo por parte de dicha doctora. 5 Los representantes del HOSPITAL aportan de forma voluntaria: a. Copia de la “Auditoria de cumplimiento del RDLOPD” de 25/5/2011. b. Documento remitido a la Inspección Provincial de Trabajo y Seguridad Social en el que se presentan alegaciones al procedimiento administrativo especial en relación con una denuncia presentada por la doctora A.A.A.. c. Copia de Informe remitido por el doctor C.C.C. al Director Gerente del Hospital en relación al expediente informativo de Dª A.A.A.. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 17, dedicado por completo a la conservación de la documentación clínica, establece en su punto primero que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 cinco años contados desde la fecha del alta de cada proceso asistencial” y en su apartado 6 determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. El artículo 19 de la citada Ley 41/2002 indica: “Derechos relacionados con la custodia de la historia clínica. El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. En la inspección realizada el día 28 de septiembre de 2015 por esta Agencia los representantes del Hospital aportaron el Documento de Seguridad y la Guía de uso de la Historia Clínica y se comprobaron las medidas de seguridad adoptadas para la custodia de las historias clínicas de los pacientes del hospital en soporte papel. Según queda expuesto, cabe decir que los centros sanitarios están obligados a una custodia activa y diligente de las historias clínicas de sus pacientes y que en la documentación clínica hay que aplicar las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, según establece la Ley 41/2002, de 14 de noviembre, por la que se aprueba la Ley básica, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
6. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
7. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
8. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
9. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección de datos de carácter personal, el artículo 44.3.
10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales citadas puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
15. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
16. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 En este procedimiento se denuncia que el hospital Padre Jofré, dependiente de la Consellería de Sanitat de la Generalitat Valenciana, no tiene adoptadas las medidas necesarias que garanticen la seguridad de los datos de carácter personal contenidos en las historias clínicas de sus pacientes. Para la constatación de los hechos denunciados la Inspección de Datos de esta Agencia realizó una visita de inspección al hospital el 28 de septiembre de 2015. Durante la inspección, los representantes del hospital aportaron el Documento de Seguridad y la Guía de Uso de la historia clínica. Este documento incluye un apartado sobre confidencialidad de la historia clínica, otro sobre el derecho de acceso de los profesionales sanitarios e instituciones y se establecen los perfiles de acceso a las HC. Exponen que el personal conoce sus obligaciones respecto de las medidas de seguridad de la documentación que contiene datos de carácter personal. Los inspectores pudieron comprobar que las historias clínicas disponen de medidas de seguridad en distintos servicios del hospital tales como el archivo, el hospital de día de psiquiatría, las plantas 1ª y 2ª de hospitalización y el despacho de un doctor. En todas ellas se constata que las historias están guardadas en armarios con llave que se custodia por las personas designadas al efecto, que disponen de controles y de registros de acceso y cámaras de video. Los representantes del hospital manifestaron que las fotografías aportadas en la denuncia son antiguas y que los armarios que aparecen en ellas ahora ya disponen de llave. Los inspectores constataron estas manifestaciones. La necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos”. El artículo 5.1.
17. g)del Reglamento de la LOPD dispone que se entenderá por “datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” En el presente caso se valoran las medidas de seguridad adoptadas en la custodia de las historias clínicas de un hospital que se encuentran en soporte papel, es decir, se trata de un fichero no automatizado de datos relacionados con la salud. A estos ficheros se aplican las medidas de seguridad previstas en el capítulo IV del Título VIII del Reglamento de desarrollo de la LOPD, artículos 105 a 114 que habrán de cumplir los ficheros y los tratamientos no automatizados. En la inspección llevada a cabo por esta Agencia se ha constatado que en el hospital denunciado, el hospital Padre Jofré, de la Consellería de Sanitat de la Generalitat Valenciana, se adoptan las medidas de seguridad adecuadas a los datos de carácter personal que se tratan, los relacionados con la salud. En definitiva en el presente caso se considera que, el hospital Padre Jofré, de la Consellería de Sanitat de la Generalitat Valenciana, dispone de las medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal, por ello, debe considerarse que no se vulnera la normativa de protección de datos. En cualquier caso cabe recordar que la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución al HOSPITAL PADRE JOFRÉ y a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es