E-02397-2016

1/7 Expediente Nº: E/02397/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS, S.A.U., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de abril de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que se pone de manifiesto los siguientes hechos: ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS, S.A.U., (en adelante ASISA) en el “Volante de autorización de servicios. Volante para el médico autorizado” incluye los datos personales del denunciante junto con los datos de la prueba que se autoriza; en esta parte del volante, consta un apartado de “Observaciones” en las que se ha incluido un posible diagnóstico de índole sexual sobre las prácticas sexuales por medio de las cuales ha contraído una enfermedad de transmisión sexual. El denunciante considera que, aunque el doctor que solicita la prueba refleje esa información en la solicitud, estos datos no deben ser registrados en los Sistemas de Información de ASISA ni deben quedar reflejados en el volante de autorización. Adjunto a la denuncia, el Sr. A.A.A. ha aportado:  Solicitud de una prueba médica cumplimentada por un facultativo y en el que figura un posible diagnóstico manuscrito en un apartado del documento en el que consta: Impresión Diagnóstica: Codifique los actos por el nomenclátor OMC (a cumplimentar por el médico)  Volante de autorización de servicios. Volante para el médico autorizado que se encuentra mecanizado y en el que figura como OBSERVACIONES el mismo posible diagnóstico que consta en la solicitud. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 7 de junio de 2016 se han remitido requerimiento de información a ASISA y de la respuesta recibida se desprende lo siguiente: 1. ASISA manifiesta que el facultativo debe formular una hipótesis sobre la enfermedad que, a su juicio, puede ocasionar los síntomas que presenta el paciente y para comprobarlo solicita una prueba diagnóstica o complementaria. En caso de que la prueba solicitada necesite autorización, la solicitud se realiza mediante el volante para ASISA. Este volante debe especificar el motivo de la prueba ya que permite a ASISA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 poder valorar si está justificada. 2. Cuando ASISA autoriza una prueba, se imprime el Volante de autorización de servicios. Volante para el médico autorizado que acompañará a la solicitud del facultativo para que el centro realizador de la prueba pueda conocer la autorización de la misma y que es aportado por el asegurado. 3. Respecto del motivo por el cual no se utiliza el nomenclátor OMC para la Impresión Diagnostica, ASISA manifiesta que la información que figura manuscrita por el facultativo es una información que no se puede establecer solo con el nomenclátor ya que este indica con precisión la prueba pero no el detalle que busca detectar o precisar el doctor solicitante. Y manifiesta que es absolutamente imprescindible la impresión diagnóstica para poder esclarecer la patología de un paciente y encauzar las pruebas diagnósticas a realizar y los motivos que justifican la misma. En caso de que la descripción de la impresión diagnóstica y para la práctica de, apartado que también figura en la solicitud cumplimentada por el médico, sea suficiente, no es necesario utilizar el código OMC ya que se conoce el tipo de prueba y el objetivo pretendido. 4. ASISA manifiesta que es una práctica obligatoria para el facultativo la impresión diagnóstica y no es directriz dictada por ASISA. 5. Respecto de la información del denunciante, ASISA manifiesta que formuló una queja ante la compañía por haber incorporado en el Volante de autorización de servicios. Volante para el médico autorizado la impresión diagnóstica debido al carácter sensible, por lo que ASISA decidió puntualmente eliminar esta información de sus Sistemas de Información y reimprimir un nuevo volante, aunque el anterior era correcto y la reimpresión se realizó como una atención al asegurado. 6. Respecto del perfil de las personas que acceden a la información de los asegurados donde figuran datos de salud, ASISA manifiesta que tiene autorización el personal administrativo que gestiona los volantes de autorización así como la Dirección médica de la Delegación de ASISA que tiene las competencias para valorar la necesidad de la prueba. Asimismo, y dentro del Consejo de ASISA, tienen autorización para acceder a dicha información, la Asesoría Jurídica, el Servicio de Atención al cliente para contestar las eventuales reclamaciones y el personal administrativo para recabar los datos necesarios. ASISA manifiesta que todo el personal de su compañía está obligado contractualmente a observar la confidencialidad debida sobre el contenido de los datos a los tienen acceso. 7. ASISA ha aportado impresión de pantalla de los datos que constan en sus sistemas de Información respecto del denunciante en el que figuran los datos de nombre y apellidos, fecha de nacimiento, sexo, dirección postal. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente procedimiento, se valorara si los datos recogidos en el volante de autorización de la prueba diagnóstica son datos excesivos y, en consecuencia, supondrían una infracción de lo establecido en el artículo 4.1 de la LOPD. Con el fin de precisar la posible antijuridicidad de la actuación denunciada, procede analizar, previamente, el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, que dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos de carácter personal sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos de carácter personal los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. III La LOPD, además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se ha denunciado, en lo relativo a establecer si son datos excesivos los que se incluyen en la solicitud de prueba diagnóstica, por parte de un médico de ASISA con la finalidad de que dicha prueba sea autorizada. El citado artículo 4 debe interpretarse conjunta y sistemáticamente con el transcrito anteriormente. El artículo 4.1 de la LOPD, garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 4 de la LOPD, con la denominación “Calidad de datos” es el primer precepto del título II dedicado a los “Principios de calidad de datos”, que derivan del derecho fundamental a la protección de datos. En el apartado 1 del artículo 4 de la LOPD se establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, también debe respetarse en el posterior tratamiento que se realice de los mismos. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
2. c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. El mencionado precepto debe ponerse en correlación con lo previsto en el apartado 2 del citado artículo 4, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Así, el tratamiento de datos realizado por la Dra. B.B.B. es adecuado y necesario para la finalidad pretendida. Si bien pudo poner unos dígitos que en el Nomenclator OMC identifican la colonoscopia, tenía que añadir la impresión diagnóstica que motivaba su realización; siendo imprescindible para poder esclarecer la patología que presenta el paciente y un medio indispensable para encauzar las pruebas diagnósticas a realizar y su justificación. IV Asimismo, el artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Sintetizando las previsiones legales puede afirmarse que:
3. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
4. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
5. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
6. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El artículo 91 del Reglamento de desarrollo de la LOPD, aprobado por el Real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Decreto 1720/2007, de 21 de diciembre, establece lo siguiente: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Esto significa que cuando un usuario de un fichero accede a una información, ese acceso tiene que ser necesario para desarrollar las funciones que tiene encomendadas y que dicho acceso este justificado. En este sentido, ASISA ha indicado que accede solo el personal administrativo que gestiona los volantes de autorización y la Dirección médica que valora la necesidad de la prueba; añadiendo que todas las personas de la compañía están obligadas contractualmente a observar la confidencialidad debida sobre los datos a los que acceden. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS S.A.U. y a Don A.A.A. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es