← España

E-01874-2018

1/5 Expediente Nº: E/01874/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante B2B SALUD (GRUPO RIBERA SALUD), en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de marzo y 20 de abril de 2018, se recibieron en esta Agencia dos escritos remitidos por Doña A.A.A., en los que exponía lo siguiente: Como farmacéutica especialista adscrita al Servicio de Farmacia Hospitalaria del Hospital Universitario de la Ribera en Alzira (Valencia), tuvo conocimiento de los siguientes hechos: Con fecha 14 de marzo de 2018, se personaron en el Servicio de farmacia dos personas de la empresa B2B Salud, la cual llevaba la gestión de mantenimiento de las aplicaciones del citado servicio, ambos personal no sanitario, y solicitaron a la persona del Hospital que se encontraba de guardia, el acceso a la “Carpeta Departamental”, manifestando que tenían que redireccionarla, siendo la persona perteneciente al Hospital quien les da el acceso, ya que ellos no tenían acceso a la misma. Esta Carpeta consta a su vez de subcarpetas y fue creada en el año 1999, conteniendo multitud de ficheros con información de pacientes, tanto personales como clínicos. A la mañana siguiente, la denunciante detecta la desaparición de la citada carpeta, hecho que comunica al Comisionado de la Conselleria en el Hospital, quien lo traslada a la Conselleria de Sanitat en Valencia; quien realiza una visita de inspección ese mismo día, constatando el hecho. El día 15 de marzo, personal de la citada empresa, procede a la restauración del fichero; no obstante, el día 16 de marzo, pese a haberse reinstalado la carpeta, se advierte que faltan algunas subcarpetas con información necesaria para el desarrollo de su trabajo. La Inspección de la Conselleria, vuelve a personarse, constatando también estos hechos. La gestión de B2B Salud finalizó el día 31 de marzo de

  1. Así mismo, se desconoce el uso que dicha entidad haya podido hacer con los datos contenidos en dichas carpetas, entendiendo que se ha producido una quiebra de seguridad. Entre otra, anexa la siguiente documentación:  Copia de las Actas de inspección médica de la Conselleria de Sanitat Universal i Salut Pública de la Generalitat Valenciana, en los días 15 y 16 de marzo de
  2.  Copia de la Denuncia que ´la denunciante efectuó en la Comisaría de la Policía de Xátiva en fecha 15 de marzo de
  3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
  4. Con fecha 28 de junio de 2018, se recibe escrito de la Conselleria de Sanitat Universal y Salut Pública de la Generalitat Valenciana, en el que se pone de manifiesto que: 1.
  5. En la fecha en la que tuvieron lugar los hechos denunciados, el Departamento de Salud de La Ribera y del Hospital Universitario de La Ribera, estaban gestionados por la empresa RIBERA SALUD II UTE Ley 18/82, al amparo del contrato 86/2003, mediante una concesión administrativa, y no directamente por la Conselleria. 1.
  6. La gestión del Departamento de Salud de La Ribera y del Hospital Universitario de La Ribera volvieron a la Conselleria el 1 de abril de
  7. 1.
  8. La Conselleria ha sido en todo momento la responsable de los ficheros con información de los pacientes del Sistema Nacional de Salud. La empresa actuó como encargada del tratamiento mientras duró la concesión administrativa.
  9. Con fecha 30 de julio de 2018, se recibe en esta Agencia escrito de la entidad RIBERA SLUD II, UNION TEMPORAL DE EMPRESAS, LEY 18/92, en el que ponen de manifiesto lo siguiente: 2.
  10. Con fecha 31 de marzo de 2003, la entidad suscribió un contrato de Gestión de Servicios Públicos por concesión, con la Conselleria de Sanitat, cuyo objeto era la gestión del servicio público en su modalidad de concesión administrativa, de la prestación de los servicios de atención sanitaria integral del Área de Salud número 10 de la Comunidad Valenciana. 2.
  11. El objeto contractual comprende los servicios de asistencia Especializada tanto hospitalaria como ambulatoria y los servicios de Atención Primaria, para la población comprendida en dicho Área. 2.
  12. Durante el mes de marzo de 2018, se llevó a cabo un clasificado de la información contenida en las carpetas corporativas del Hospital, con el objeto de identificar y separar información de naturaleza estrictamente mercantil, que RIBERA no tenía obligación de transferir a la Conselleria, en el marco de las normas encaminadas a la reversión del servicio público integral del Departamento de Salud de La Ribera, adoptadas por la Generalitat con fecha 27 de marzo de
  13. 2.
  14. Las citadas carpetas corporativas estaban clasificadas por departamentos y alojadas en un servidor ubicado en el centro de procesamiento de datos del Hospital. A estos efectos, el personal informático creó en ese mismo servidor una carpeta denominada “Repository”, y dentro de ella subcarpetas vacías con idéntico nombre que la carpeta corporativa principal a revisar para la posterior extracción y traslado de documentación no sujeta a Normas de Reversión referidas. Los usuarios con acceso fueron definidos por el Hospital, y eran muy restringidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 2.
  15. La información contenida en las carpetas corporativas se catalogaba y clasificaba por los propios usuarios, quienes debían trasladar los documentos de índole mercantil no sujetos a Normas de Reversión a las subcarpetas de “Repository” manteniendo el resto de la documentación en la carpeta corporativa original. 2.
  16. En el contexto del proceso que se realizó durante la tarde del 14 de marzo de 2018, el usuario designado para catalogar la información de la carpeta del Servicio de Farmacia, trasladó por error todo el contenido de la carpeta de farmacia a la subcarpeta “Repository”, sin que ello supusiera en ningún momento una desaparición de la información contenida en dicha carpeta, sino un cambio de ubicación dentro del mismo servidor. 2.
  17. Con fecha 15 de marzo de 2018, el Servicio de Farmacia se puso en contacto con el servicio técnico para notificar la incidencia. Dicho servicio técnico, procedió a dar de alta en el sistema de Registro de Incidencias de ese mismo día, según consta en el Registro que se acompaña. 2.
  18. Realizadas las correspondientes comprobaciones, el servicio técnico detectó que el funcionamiento de la aplicación de Farmacia estaba vinculado a la carpeta corporativa de dicho Servicio, de forma que el hecho de trasladarla a la subcarpeta de “Repository”, generó un error en la aplicación. 2.
  19. Detectado el motivo del incidente, el servicio técnico informó al usuario que procedía a la restauración de la citada carpeta, a su ubicación original, La información contenida en la citada carpeta era:  Datos de pacientes: Nombre y apellidos, Domicilio, DNI, Datos de salud, (prescripción/enfermedad), Número de Tarjeta Sanitaria (SIP) y Fecha de nacimiento.  Datos de personas de contacto: Nombre y apellidos, DNI, datos de contacto profesional. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Teniendo en cuenta la fecha en la que se produjeron los hechos denunciados, en el mes de marzo de 2018, resultan de aplicación las previsiones contenidas en la LOPD, al no resultar aplicable, en este caso, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, aunque en vigor desde mayo de
  20. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 El artículo 9 de la LOPD establece: “
  21. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
  22. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
  23. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. El artículo 100 del Reglamento mencionado establece lo siguiente: “
  24. En el registro regulado en el artículo 90 deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación.
  25. Será necesaria la autorización del responsable del fichero para la ejecución de los procedimientos de recuperación de los datos.” En el presente caso, Ribera Salud UTE, Ley 18/92 era la concesionaria que gestionaba el Hospital La Rivera, hasta finalizar el mes de marzo de 2018; y, como tal, accedía y trataba los datos de los pacientes del Área de Salud nº 10 de la Comunidad Valenciana. Como finalizaba la concesión administrativa, se procedió a identificar y separar la información mercantil de los ficheros del servicio de Farmacia, entre otros, que la UTE no tenía que transferir a la Conselleria, en el marco de la reversión de la gestión del servicio público. En dicho proceso, se trasladó toda la carpeta del Servicio de Farmacia, tanto con la información mercantil que iban a pasar a las carpetas de la UTE como con la información de los datos personales. Al advertir el error por parte del servicio de Farmacia, se restauró la carpeta en su ubicación original y se dio de alta en el Registro de Incidencias el problema que había sucedido y su resolución. La normativa de seguridad en materia de seguridad exige que si se produce algún problema, se solucione y se registre la incidencia, como así se hizo. Los datos fueron tratados por el encargado del tratamiento en ese momento. IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a B2B SALUD (GRUPO RIBERA SALUD), GENERALITAT VALENCIANA: CONSEJERIA DE SANIDAD, y Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.