E-01139-2015

1/6 Expediente Nº: E/01139/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Servicio Gallego de Salud, Ambulatorio ####, en virtud de denuncia presentada por Doña B.B.B., en representación de su hija menor de edad C.C.C., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de febrero de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., en el que denuncia que, un trabajador del SERGAS ha comunicado datos de su hija menor a Don A.A.A., con el que tuvo una relación en el año

1. Posteriormente, Don A.A.A. le envía a la denunciante una fotografía de la pantalla del ordenador del SERGAS en la que le enseñaron los datos de su hija menor, sin su consentimiento. La denunciante presentó reclamación ante el SERGAS, con fecha 5 de noviembre de 2014, adjunta copia de la misma. No obstante hasta el mes de junio de 2015, no había recibido respuesta. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
2. Con fecha 16 de septiembre de 2015, se recibe en esta Agencia escrito del Servicio de Inspección de Servicios Sanitarios de la Consellería de Sanidad de la Xunta de Galicia, en el que expone una serie de CONSIDERACIONES derivadas de las actuaciones practicadas por el inspector actuante y emitiendo el correspondiente informe con fecha 09/06/2015, manifestando que: 1.
3. A través de la información facilitada por el servicio de seguridad de la información, la imagen de la pantalla del monitor aportada por la reclamante corresponde al resguardo de “datos del ciudadano” que se imprime desde Tarjeta Sanitaria tras un alta de asegurado. 1.
4. Los únicos accesos registrados a dichos datos en la fecha indicada (22/08/2014), corresponden a un auxiliar administrativo del Centro de Salud de XXXXX, el cual reconoce haber accedido a tal aplicación con la finalidad de comprobar que la paciente (hija de la menor), estaba de alta en el Servicio Público de Salud. 1.
5. El acceso se hizo a requerimiento del que estimó que era el padre de la menor, puesto que se identificó como acompañante de la madre de la niña, en reiteradas ocasiones, a la consulta de la matrona para el control del embarazo y parto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1.
6. Puntualiza que accedió varias veces, tal como consta en el servicio de seguridad de la información, porque había confusión con los apellidos de la menor, coincidentes con los de la madre. 1.
7. Niega rotundamente haber hecho una fotografía a la pantalla, desconociendo la identidad de la persona que pudo hacerlo. 1.
8. Manifiesta haberse puesto en contacto con el supuesto padre de la niña ( A.A.A.), manifestando éste, que era el padre de la menor y que había interpuesto una demanda de paternidad en vía judicial. 1.
9. Se adjunta copia de un informe suscrito por la Matrona, donde manifiesta que el Sr. A.A.A., había asistido a la consulta durante el embarazo acompañando a la madre de la menor, así como a las clases de preparación al parto. En la primera consulta constan antecedentes personales y familiares del mismo, como padre de la menor. 1.
10. Se adjunta copia de la primera hoja de la demanda judicial presentada por el padre y el documento judicial de convocatoria de la vista de juicio oral relativo a la citada reclamación de filiación. 1.
11. Por todo lo expuesto, se CONCLUYE no existir responsabilidad disciplinaria por parte del auxiliar administrativo. No existe constancia de que por parte de ninguna otra persona y/u otro profesional del centro, se hubiera accedido a los datos de la menor plasmados en la “pantalla del ordenador” del que la denunciante presenta fotografía. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la vulneración del deber de secreto, cuya responsabilidad correspondería al SERGAS, al haber facilitado datos de la menor a una tercera persona. El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. A partir de lo anterior, hay que reseñar que la denunciante aporta como prueba de que el SERGAS pudo facilitar la ficha del Servicio Galego de Saude con los datos de nombre, apellidos, sexo y fecha de nacimiento de la menor, una fotografía que le envió Don A.A.A.. III Durante las actuaciones previas de investigación se ha tenido conocimiento que la persona que mostró los datos de la menor es un auxiliar administrativo del Centro de Salud de Villagarcía de Arosa, quien ha reconocido que accedió a la aplicación con la finalidad de comprobar si la menor (había nacido dos días antes) estaba dada de alta en el Servicio Público de Salud, a requerimiento de quien estimó era el padre de la menor, al identificarle como el acompañante de la madre de la niña en reiteradas ocasiones, tanto para acudir a la consulta de la matrona como a la preparación al parto. El SERGAS ha concluido que el auxiliar que accedió a los datos de la menor no ha incurrido en responsabilidad disciplinaria, ya que facilitó datos del nacimiento de una niña al que identificó como padre de la misma. Es necesario examinar a continuación si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador, responsabilidad por el ilícito cometido. Debemos partir del hecho que se produjo previamente a facilitarle al Sr. A.A.A. información sobre los datos de afiliación de la niña al Servicio Gallego de Salud, que es la seguridad de que la petición la realizaba el padre de la menor. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). Hay que tener en cuenta que las exigencias derivadas del principio de culpabilidad se traducen en materia de protección de datos de carácter personal en la necesidad de exigir una especial diligencia a las personas físicas o jurídicas responsables del tratamiento de los mismos, diligencia que debe valorarse en el presente supuesto en el que se comunicaron a terceros, datos de afiliación de una menor sin su consentimiento de su madre. El SERGAS ha declarado que se accedió a comprobar que la niña ya estaba en el sistema público de salud gallego para informar de ese extremo a quien todos consideraban su padre biológico. Así lo ha certificado la comadrona que atendió el embarazo de la denunciante. Estos hechos están documentados en las declaraciones realizadas por el auxiliar que accedió al sistema informático y por la comadrona que hizo un seguimiento del embarazo de la denunciante. La entidad denunciada en el presente procedimiento informó del alta en el sistema sanitario de la niña a quien dijo ser el padre de la misma y así se le consideró durante el embarazo. Concurre pues la falta de culpabilidad en la conducta de la entidad denunciada. En el caso presente esta Agencia considera que al SERGAS no le era exigible otra conducta diferente de la que observó puesto que no había ninguna circunstancia que le pudiera hacer pensar que la persona que solicitó la información objeto de denuncia no era quien dijo ser. Debe concluirse que la actuación del SERGAS, procediendo a facilitar los datos de afiliación al sistema público de la menor a quien se acreditó como su padre, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 cumple los requisitos mínimos derivados del principio de culpabilidad porque se ha producido un error invencible que excluye el dolo y la culpa y por tanto la responsabilidad, por lo que debe procederse al archivo de las presentes actuaciones realizadas ante el SERGAS. IV En relación con la fotografía de la pantalla del ordenador enviada a la denunciante, en la que constaban los datos de alta de la niña, hay que señalar que el SERGAS no ha acreditado que la hiciese un trabajador de dicho servicio; de las informaciones trasladadas podría intuirse que el Sr. A.A.A. hizo la fotografía mientras se efectuaba la búsqueda. Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “
12. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” La aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de elementos indiciarios que permitan acreditar los hechos que motivan esta imputación, circunstancia que no se produce en el presente caso: no existe acreditación ni indicios de que la fotografía la realizase un trabajador del SERGAS, de ahí que no se den las condiciones para iniciar un procedimiento sancionador por infracción de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
13. PROCEDER AL ARCHIVO de las presentes actuaciones.
14. NOTIFICAR la presente Resolución al Servicio Gallego de Salud, Ambulatorio #### y a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es