E-01164-2019

1/5 Expediente Nº: E/01164/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER) en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19 de octubre de 2018, tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el denunciante) contra el INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER) por los siguientes hechos:  Se exponen en cualquier lugar del Centro listas con nombres y en las puertas fotografías de los residentes con sus nombres.  El personal lleva su nombre y apellidos en el uniforme y  Existen libros de actas donde se reflejan los incidentes acaecidos diariamente en la planta.  Los historiales médicos, sin custodiar, se encuentran en las plantas, donde cualquiera puede examinarlos. Se aportan fotografías de documentos con datos personales que, según manifiesta, ha obtenido en el citado Centro, los documentos se encuentran en mesas y algunos en tablones o “corchos”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 5 de diciembre de 2018 se da traslado de la denuncia al ICASS en el marco de las actuaciones con referencia E/9628/

1. Con fecha 8 de enero de 2019, en contestación al traslado, el ICASS ha remitido a la Agencia la siguiente información:
2. Respecto a las afirmaciones realizadas por el denunciante sobre que en cualquier lugar del Centro se encuentran listas con nombres, manifiestan que: a. En el CAD (CENTRO DE ATENCION A LA DEPENDENCIA) de SANTANDER, están separadas las zonas de ámbito laboral, destinadas a los trabajadores, ya que es su zona de trabajo y las zonas de los usuarios y sus familias (habitaciones, salas de estas, comedores, pasillos etc…). Las dos zonas están perfectamente separadas y delimitadas, de tal forma que no se permite la entrada de usuarios y familiares en la zona de personal.
3. Respecto a los documentos que se muestran en las fotografías aportadas por el denunciante, corresponden a diferentes tipos de documentos que se pueden agrupar como: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 a. Documentos que atañen a los trabajadores: Impresos de cambios de turno, de los servicios, de la relación de los trabajadores con los festivos que les corresponden etc… Estos documentos se encuentran en el tablón de anuncios del personal en la zona de personal de acuerdo con las directrices del Anexo a las Carteleras de trabajo para los Centros dependientes del ICASS en 2018, firmadas entre la Administración y las Organizaciones Sindicales, en las que se recoge que deben ser expuestas para conocimiento de los trabajadores. La identificación de los trabajadores en su uniforme (nombre y apellidos), también es resultado del acuerdo firmado con los representantes de los trabajadores. Así mismo el motivo de identificar al personal que trabaja en un centro de atención socio-sanitaria que atiende las 24 horas es que se produce una rotación importante del personal y facilita la identificación por los usuarios y sus familias. b. Documentos que atañen a los usuarios: Estos documentos se encuentran siempre bajo el control de enfermería en cada planta, donde no se permite el acceso ni a los usuarios ni a sus familiares y solo accede el personal del Centro, empleados públicos y por tanto sometidos a la confidencialidad. Estos documentos son herramientas necesarias para el trabajo y son relativos a la prestación de los cuidados necesarios. Respecto a la referencia al “libro de actas”, se trata de un cuaderno en el que se anotaban las incidencias o mensajes importantes para que lo puedan leer otros profesionales (médicos, enfermería etc..) del turno siguiente. Actualmente ya no se utilizan porque las incidencias se registran en un programa informático. La Historia Médica/Enfermería se registra en el Programa informático RESIPLUS, algunos resultados de analítica o algún informe se siguen recibiendo en formato papel y se guardan en carpetas individuales en un archivador cerrado y custodiado, en el control de enfermería de cada planta, solo puede acceder a las carpetas el personal autorizado. La identificación de las habitaciones de cada usuario con su foto y su nombre, se relaciona con el concepto del Centro, estancia 24 horas, durante meses o años, en el que la habitación en su casa y se trata de identificarla como su hogar, además de favorecer la orientación en aquellos usuarios que aún mantienen la capacidad de desplazarse dentro y fuera del Centro. No obstante, en el caso de que el usuario/familiar o tutor no desee que se exponga la foto puede solicitar la oposición/rectificación según se informa en el contrato de ingreso en el Centro.
4. Aportan copia del escrito remitido al denunciante, con fecha 26 de diciembre de 2018, en el que le informan, en relación con su reclamación, de que los documentos a los que hace referencia se encuentran en espacios destinados al personal de plantas asistenciales (cuando se trata de herramientas de trabajo) o en el ámbito del usuario (cuando afectan a su identificación. Así mismo, le informan de que es voluntad de la Dirección seguir trabajando en el respecto a la protección y la confidencialidad de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Con fecha 2 de febrero de 2019, se inician las presentes actuaciones de investigación con objeto de ampliar la información relativa a la exposición de las fotografías de los usuarios del Centro y a la obtención de estas. Con fecha 26 de febrero de 2019, el ICASS ha remitido a la Agencia la siguiente información:
5. Respecto al procedimiento de obtención de las fotografías de los usuarios: se pueden tomar en el momento de su ingreso en el Centro o bien con motivo de la celebración de cualquier tipo de actividad, tales como celebraciones o excursiones.
6. Para la obtención del consentimiento de los interesados para el tratamiento de sus fotografías, el Centro pone a disposición de los usuarios o sus representantes legales, la oportuna autorización, de cuyo modelo aportan copia y donde se solicita el consentimiento para realizar fotos cuya utilización se limitará a las actividades propias del CAD, los usuarios/tutores pueden AUTORIZAR o NO AUTORIZAR “La difusión de imágenes realizadas en actividades del centro”.
7. Aportan así mismo, copia del contrato de ingreso en el Centro, en cuyo apartado NOVENO se informa de que: “Sus datos personales son confidenciales y serán tratados con el grado de protección adecuado, según el Real Decreto 170/
8. Podrá ejercer sus derechos de oposición, acceso, rectificación y cancelación, en cumplimiento de la legislación vigente, mediante comunicación por escrito dirigido a: CAD SANTANDER, c/Arriba 38 39012 Santander. En dicha solicitud el usuario hará constar su nombre, apellidos, dirección y la petición en que se concreta su solicitud, acompañada de fotocopia de DNI. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. El artículo 9.4 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece lo siguiente: “Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta, a fin de que den respuesta a la reclamación en el plazo de un mes. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación también en el plazo de un mes.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por A.A.A. contra el INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER), S.A.U. por una presunta vulneración del artículo 6 del RGPD en relación con la licitud de tratamiento de los datos personales del interesado. En concreto se denuncia que en el INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER) exponen en cualquier lugar del Centro listas con nombres y en las puertas, fotografías, de los residentes con sus nombres, el personal lleva su nombre y apellidos en el uniforme y existen libros de actas donde se reflejan los incidentes acaecidos diariamente en la planta. Además, los historiales médicos, sin custodiar, se encuentran en las plantas, donde cualquiera puede examinarlos. El INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER) con fecha 26 de febrero de 2019, ha manifestado que las fotografías y demás datos personales se toman en el momento de su ingreso en el Centro o bien con motivo de la celebración de cualquier tipo de actividad, tales como celebraciones o excursiones y que para la obtención del consentimiento de los interesados para el tratamiento de dichos datos, el Centro pone a disposición de los usuarios o sus representantes legales, la oportuna autorización, de cuyo modelo aportan copia y donde se solicita su consentimiento pudiendo los usuarios/tutores AUTORIZAR o NO AUTORIZAR por ejemplo “La difusión de imágenes realizadas en actividades del centro”. Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, al considerarse que la actuación del INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER), es acorde a derecho, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 ya que para el tratamiento de dichas fotografías y demás datos personales de los usuarios del INSTITUTO CANTABRO DE SERVICIOS SOCIALES (CAD DE SANTANDER), se pone a su disposición la oportuna autorización, donde se solicita con carácter previo su consentimiento. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA
9. PROCEDER AL ARCHIVO de las presentes actuaciones.
10. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es