E-01445-2013

1/7 Expediente Nº: E/01445/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Clínica Fisión de Albacete, en virtud de denuncia presentada por Doña D.D.D., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de enero de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña D.D.D. en el que declara que, con fecha 28 de agosto de 2012, acudió a consulta médica en la Clínica Fisión en Albacete. La recepcionista del Centro le entrego un documento de consentimiento y cesión de datos y otro documento en el que constaban impresos sus datos con objeto de confirmarlos; en éste último figuraban también los datos de otro paciente del Centro. La denunciante comunica a la recepcionista el hecho y ésta le indica que se trata de un error y que lo aclararan en la consulta. La denunciante decide no entrar en la Consulta y llevarse el documento, ante lo que otro trabajador de la Clínica trata de impedirle que saque el citado documento. La denunciante manifiesta que llama a la Policía, la cual toma nota del incidente. Aunque el Dr. A.A.A. manifiesta que se han pegado dos hojas en la fotocopiadora, la denunciante considera que se ha reutilizado una hoja con datos de otro paciente para imprimir los suyos. DOCUMENTACION APORTADA: - Documento de información de recogida de datos médicos y consentimiento para su cesión de la Clínica Fisión, de fecha 28 de agosto de 2012. - Documento con el logotipo de la Clínica Fisión en el que figuran los datos de la denunciante y de la solicitud de consulta, en cuyo reverso consta impreso un fax, de fecha 31 de diciembre de 2011, con los datos de otro paciente para “Solicitud de Valoración Médica en accidente de tráfico”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 5 de junio de 2013, la CLINICA DE REHABILITACION FISICA DOCTOR AZORIN S.L. (en lo sucesivo LA CLINICA) ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. LA CLINICA pertenece a la red de franquicias FISI-ON FRANQUICIAS. Según consta en el contrato suscrito entre ambas entidades, del que aportan copia, Clínica Fisión actúa de intermediaria entre las compañías aseguradoras de los pacientes y su red de centros asociados entre los que se encuentra LA CLINICA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 2. Así mismo, Clínica Fisión se encarga de tramitar el siniestro con las compañías aseguradoras y para ello recoge el consentimiento informado de los pacientes, según el modelo que adjuntan, que coincide con el aportado por la denunciante. 3. Los datos que constan en sus ficheros relativos a la denunciante, son los que figuran en el documento que adjuntan y que les fueron facilitados por la Clínica Fisión en la solicitud de consulta. 4. En el marco de la relación descrita, la denunciante, se persono en la Clínica, con fecha 28 de agosto de 2012, para recibir tratamiento según lo especificado en el citado documento de solicitud de consulta. 5. Según el protocolo establecido, el personal administrativo debe imprimir el citado documento para que sea consultado por el Médico, pero en ningún momento se hace entrega del mismo al paciente. 6. Ese día, el personal administrativo de la Clínica, sin seguir el protocolo establecido para el tratamiento de Historias Clínicas (cuya copia aportan), ni el manual de destrucción de documentación (cuya copia así mismo, aportan), y como consecuencia de un error involuntario, reutilizó, para imprimir, el documento de consulta de la denunciante, otro documento en el que figuraban los datos de otro paciente. 7. Según manifiestan, una vez advertido el error trataron de solucionarlo destruyendo el documento, pero la denunciante se apodero del mismo y se negó a devolverlo, por lo cual fue necesaria la presencia policial. A este respecto aporta copia de la contestación que le ha remitido la Comisaria Provincial de la Policía de Albacete, dando contestación a su solicitud sobre las actuaciones policiales llevadas a cabo en LA CLINICA, con fecha 28 de agosto de 2012, en el que le comunican que dado que la información que solicita contiene datos personales, será remitida directamente a esta Agencia. 8. Por último, aportan copia de la incidencia registrada en su “Registro de Incidencias” como 3/2012, de fecha 29 de agosto de 2012, en la que se detallan los hechos ocurridos y entre las medidas adoptadas consta la prohibición de reutilizar papel que contenga datos personales, aun cuando sea para uso interno y el recordatorio a todo el personal de sus funciones y obligaciones en materia de seguridad de datos personales, así mismo figura que se valora la posibilidad de realizar un curso de concienciación al personal implicado en el tratamiento de datos personales. Con fecha 7 de junio de 2013, tiene entrada en esta Agencia un escrito de la Comisaría Provincial de la Policía de Albacete en el que informan: 1. Con fecha 3 de junio de 2013 recibieron un escrito del Dr. A.A.A. en el que interesa que se dé traslado a esta Agencia de las actuaciones policiales que se llevaron a cabo en la Clínica de Rehabilitación del Dr. A.A.A., con fecha 28 de agosto de 2012, como consecuencia de una discusión mantenida por la denunciante con la recepcionista, en el informe consta que: a. Con fecha 28 de agosto de 2012 recibieron una llamada de la denunciante que solicitó la presencia policial en la citada Clínica porque le habían entregado, por error, una hoja con los datos de otra persona y que la recepcionista que se lo había entregado le solicitó la devolución ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 que se trataba de un error, no devolviéndoselo porque quería denunciar el hecho. b. Los policías que se personaron en el lugar entrevistaron a la denunciante, la cual le confirmó lo expuesto en la llamada de teléfono y al preguntarle porque no devolvía el documento, manifestó que no lo devolvía porque tenía intención de denunciar a la clínica por vulnerar los derechos de la persona cuyos datos figuraban en el reverso del documento. c. Así mismo, se entrevistaron con la recepcionista de la clínica que les informó sobre el error producido por reutilizar papel para uso interno del establecimiento y al imprimir los datos de la denunciante utilizó una hoja de papel de las utilizadas para reciclar. Al darse cuenta del error solicitó su devolución a la denunciante, la cual se negó. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Debe valorarse si en los hechos denunciados se ha producido una vulneración de las medidas de seguridad. El artículo 9 de la LOPD, que establece la seguridad de los datos, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, la pérdida de los datos. Sintetizando las previsiones legales puede afirmarse que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7
2. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
3. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
4. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
5. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Partiendo de tales premisas, deben analizarse a continuación las previsiones que el Real Decreto El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, concreta las medidas de seguridad. En su artículo 90 indica: Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas. Asimismo, en el artículo 94, apartado 4 determina lo siguiente: “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” En el supuesto presente, la Clínica notificó y documentó la incidencia sucedida el día 29 de agosto de 2012, describiéndola detalladamente y adoptando medidas recordatorias dirigidas a todo el personal referidas a la reutilización del papel. III La Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal en su artículo 10, establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. El caso analizado, plantea si concurre una infracción la normativa de protección de datos y el deber de secreto, cuestión que lleva a analizar las siguientes circunstancias que concurren en los hechos denunciados: Los hechos denunciados se refieren a que la Clínica entregó un documento interno a la denunciante para que verificase si sus datos eran correctos. En el anverso del folio figuraba una solicitud de valoración médica a una persona accidentada. Al advertirlo la denunciante se le contestó que el folio se entregaba al médico que pasaría consulta y que no iba a salir de la clínica, que por favor lo devolviera. Ante esa advertencia, la Sra. C.C.C. se negó a devolverlo e incluso llamo a la Policía que constató exactamente los mismos hechos. Sobre la posible sanción de los hechos, hay que reseñar que la Audiencia Nacional, en Sentencia de 26 de junio de 2009, Recurso 798/2008, estimó un recurso contencioso administrativo frente a una Resolución de esta Agencia, basándose en lo siguiente: “Pues bien, en el presente caso los hechos imputados al recurrente están C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 suficientemente acreditados, e incluso reconocidos por él, por lo que ninguna lesión de dicha presunción se ha producido. Efectivamente, está acreditado y reconocido que incluyó los datos personales del denunciante en el fichero de morosidad ASNEF en relación con una deuda inexistente, cuando el principio de calidad del dato exige que los datos personales objeto de tratamiento sean veraces y exactos, circunstancia que aquí no se ha producido. Otra cosa es que su comportamiento sea reprochable por las razones que indica -el error inducido por parte de BBVA- pero esa es una cuestión que atañe a la culpabilidad y no a la presunción de inocencia. Es precisamente la falta de culpabilidad la que debe conducir a la estimación de su recurso y la anulación de la resolución recurrida. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo puede ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a titulo de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso (artículo 25.1 CE), o de la exigencias inherentes a un Estado de Derecho, y requieren la existencia de dolo o culpa. Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso –artículo 44.3 .
6. d)citado- requiere la existencia de culpa, que debería concretarse, por lo que ahora interesa, en la falta de diligencia de la entidad recurrente para asegurarse de que los datos personales son tratados con veracidad y exactitud. Esto es, que antes de remitir los datos a un fichero de solvencia profesional, debe asegurarse de la calidad del dato y de su exactitud, y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa. Sin embargo, en el presente caso esta falta de diligencia no resulta imputable a la recurrente. Tal y como se ha puesto de manifiesto en el expediente fue la entidad BBVA la que indujo a error a TELEFÓNICA MOVILES DE ESPAÑA, S.A., al comunicarle que un determinado Terminal suministrado por ella no había sido abonado, lo que no era cierto, siendo BBVA la responsable de la relación comercial donde dicha entrega se formalizó, formalizando TME los protocolos establecidos para asegurarse que el impago era cierto, requiriendo formalmente de pago al denunciante antes de la inclusión de sus datos personales en el fichero de morosidad y retirando inmediatamente dichos datos en cuanto tuvo conocimiento del error. Esta Sala en numerosas ocasiones ha confirmado sanciones impuestas por hechos semejantes al aquí enjuiciado pero en el presente caso concurre un elemento diferencial. La falta de diligencia no le es imputable al actor sino a la entidad BBVA que es la que le indujo a error proporcionándole una información inexacta. Error, por otra parte, imposible de vencer por cuanto la relación comercial se desarrolló entre BBVA y el denunciante. En los propios hechos probados de la Resolución impugnada se reconoce que BBVA cedía a TME la información facilitada por el titular de la tarjeta blue joven o blue recarga, así como el domicilio de entrega del Terminal, necesario para la emisión, tanto de la factura, como para la entrega del Terminal y que no obstante debido a un error en los sistemas del BBVA, éste no comunicó la realización del pago por lo que no se pudo consignar en los sistemas de TME.” En el caso presente, la Clínica entregó una hoja a la denunciante para que revisase la corrección de sus datos y facilitárselo al médico que la iba a atender. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 denunciante no lo quiso devolver, como le solicitaron, pero esta situación excepcional y sobre la que no ha existido el elemento de la culpa no debe ser sancionada, siguiendo el criterio establecido por la Audiencia Nacional. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Clínica Fisión de Albacete y a Doña D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es