E-01679-2017

1/3 Expediente Nº: E/01679/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, relativo a la ejecución del requerimiento de la resolución de referencia R/00696/2017 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00054/2016, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia AP/00054/2016, a instancia de Doña A.A.A., con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 6.1 y 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00696/2017, de fecha 16 de marzo de 2017 por la que se resolvía “Requerir a la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 6.1 y 9.1 de la Ley Orgánica 15/

1. Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar, para lo que se abre expediente de actuaciones previas E/1679/2017.” Con objeto de realizar el seguimiento de las medidas a adoptar la Directora de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01679/
2. SEGUNDO: Con motivo de lo instado en la resolución, el Hospital Universitario La Paz remitió a esta Agencia con fecha de entrada 15 de junio de 2017, escrito en el que informaba a esta Agencia en los siguientes términos: Se ha apercibido a las personas implicadas. Además, en la reunión mensual del Comité de Seguridad de datos, de fecha 7 de abril de 2017, se ha expuesto la resolución recibida de la Agencia y se debatieron las medidas correctoras a adoptar. Dado que las infracciones sancionadas se originaron por una cesión indebida de las claves de acceso por un trabajador del Hospital a un tercero que accedió a datos indebidamente, se acordó volver a informar a los trabajadores de la prohibición de ceder claves y solo acceder a la información por razones asistenciales. Acompañan copia de la hoja informativa, que se pondrá en una zona visible de la intranet del Hospital. Asimismo, se enviara el documento con papel autocopiativo para que lo firmen los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 trabajadores y se den por enterados. Se continuará con la labor formativa de los trabajadores. Como ejemplo, el 17 de abril de 2017 se celebró la Sesión General extraordinaria sobre “Responsabilidad civil del personal sanitario ante el incumplimiento de los derechos de los pacientes”. Se hacen auditorias mensuales de accesos de profesionales a los sistemas de información y se toman las medidas oportunas ante las incidencias observadas. Se señalan Jornadas y actuaciones de seguridad dirigidas a los nuevos profesionales. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II De los hechos probados en el procedimiento AP/00054/2016, se deduce que se han producido accesos no justificados e inconsentidos a la historia clínica de la denunciante. Consta también como hecho probado que en el listado de accesos figuran los realizados los días 8 de junio y 3 de julio de 2015 con la clave de la Jefa de Servicio de la denunciante que no tienen justificación asistencial. El 26 de enero de 2016, el Director Gerente del Hospital La Paz comunicó a la denunciante que comprobaron que los accesos no autorizados se realizaron por dos trabajadoras adscritas al mismo servicio en que ella trabaja. Que las trabajadoras reconocieron los hechos y se les informó de su gravedad. III En supuesto presente, del examen de las medidas adoptadas por la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ, se constata que se van a difundir, de una forma más concreta, las medidas de seguridad en el tratamiento de datos que eviten los accesos injustificados a las historias clínicas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
3. PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3
4. NOTIFICAR la presente Resolución a la COMUNIDAD AUTÓNOMA DE MADRID, CONSEJERIA DE SALUD, HOSPITAL UNIVERSITARIO LA PAZ. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es