1/4 Expediente Nº: E/01970/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por el CENTRO PENITENCIARIO XXXXX relativo a la ejecución del requerimiento de la resolución de referencia R/00711/2016 dictada por la Directora de la Agencia Española de Protección de Datos el 18/04/2016 en el procedimiento de declaración de infracción de las Administraciones Públicas, AP/00061/2015, en base a los siguientes, HECHOS PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de declaración de infracción de las Administraciones Públicas, AP/00061/2015, Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución por la que se resolvía “REQUERIR al CENTRO PENITENCIARIO XXXXX, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/01970/
- En concreto deberá implementar el documento de seguridad del fichero que figura creado, inscrito y en funcionamiento desde 2005, informando de los extremos que afecten al personal que opera con datos. Deberá proceder a realizar una auditoría del fichero y remitirla a esta Agencia. Deberá acreditar que cumple las medidas de seguridad de control de acceso físico de ficheros, sean equipos de información o sean documentos en papel. En idéntico sentido, respecto al almacenamiento de soportes que contengan datos. Deberá informar del sistema de tratamiento de información que realiza a través de correo electrónico si lo utiliza o del registro y envío de historias clínicas a otros centros”. Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01970/
- SEGUNDO: Con motivo de lo instado en la resolución, la denunciada remitió a esta Agencia con fecha 18/05/2016 escrito en el que informa a esta Agencia de los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 1) “Acreditación del cumplimiento de medidas de seguridad de control de acceso físico de ficheros, equipos de información o documentos en papel así como respecto del almacenamiento de soportes que contengan datos. Señala las dependencias y número en las que se ubican los equipos informáticos usados exclusivamente por Médicos y enfermeros y el servidor con acceso exclusivo de los monitores informáticos. Todas las dependencias se encuentran protegidas con puertas de acceso con sistema de apertura y cierre mediante llave de la que existen copias, que se custodian en las dependencias que señalan. Además el acceso a las mismas está restringido al personal autorizado. En cuanto a la seguridad de los ficheros informáticos donde se encuentra la base de datos SANIT, se ubican en una carpeta en el servidor con permisos restringidos a los usuarios SANIT autorizados. Para acceder a la aplicación, los usuarios deben identificarse mediante claves privadas y tanto accesos como documentación que se genera en la base de datos quedan almacenados en otra base de datos de “eventos”, de la cual no “somos administradores”. En cuanto a la ubicación de los ficheros sanitarios en papel y las medidas de seguridad, la ubicación se sitúa en diferentes dependencias sanitarias de distintas Unidades. Se hallan custodiados en armarios con llaves con acceso restringido a personal sanitario autorizado. En cuanto a la documentación digital enviada, es escasa y se usa traspaso de ficheros dentro de una red corporativa estanco, solo de uso entre personal sanitario autorizado. Detalla el proceso de recogida de historia clínica en papel por traslado de los internos a otros Centros Penitenciarios que se lleva a cabo por personal sanitario ensobrando y cerrando el mismo con el literal de CONFIDENCIAL. Aporta escritos de notificación a los empleados para el acceso al aplicativo SANIT fechado el 11/05/2016 en el que se le indica que debe cambiar la clave de acceso facilitada en el siguiente acceso a la aplicación, figurando la firma del mismo. Este documento se proporciona con la Orden de Dirección 3/2016 titulada Utilización aplicativo SANIT, dirigida a los Servicios Sanitarios conteniendo instrucciones para el manejo de datos a los Facultativos y a los Enfermeros y que contiene las instrucciones para el cambio de contraseña de acceso. 2) En cuanto al sistema de Auditoría, se aporta un plan de actuaciones elaborado por una empresa consultora que va a proceder a la redacción e implantación del documento de seguridad, y a la auditoría. 3) Sobre la Seguridad de Red aportan copia de la Instrucción 15/2005 sobre medidas preventivas de seguridad aplicables a sus equipos y sistemas informáticos y de comunicaciones, que ya obraba en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 TERCERO: Con fecha 10/06/2016, se recibe escrito de la denunciada acompañando la Auditoría realizada en el Centro Penitenciario XXXXX 1, fechada a DD/MM/AA. El documento comprende los ficheros HISTORIAS CLINICAS EN CENTROS PENITENCIARIOS Y SANIT. En el documento se indican aspectos que se deben implementar en el Documento de Seguridad como los contratos de encargo de tratamiento con algunas entidades. CUARTO: Al no recibirse el documento de seguridad, se solicita que se envíe. Con fecha 29/07/2016 tuvo entrada escrito en el que remite copia del citado documento en el que se indica fecha de creación Mayo
- Efectuado un somero examen del documento, reúne los requisitos del documento de seguridad. Al mismo se acompaña una circular sobre seguridad de datos personales para todos los usuarios, y documentos de ejercicio del derecho de acceso y cancelación. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II En supuesto presente, del examen de las medidas adoptadas por el CENTRO PENITENCIARIO XXXXX se constata el cumplimiento de las que fueron objeto de requerimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución al CENTRO PENITENCIARIO XXXXX, a DON A.A.A., a la SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS y al DEFENSOR DEL PUEBLO (su número expte. ***EXPTE.1). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es