1/5 Expediente Nº: E/02582/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante el Hospital de Torrecárdenas, dependiente del Servicio Andaluz de Salud, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó la iniciación de actuaciones previas de investigación como consecuencia de las noticias publicadas en el periódico La Voz de Almería, referentes al traslado de historias clínicas en el Complejo Hospitalario Torrecárdenas mediante carritos de supermercado. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos aparecidos en medios de comunicación, teniendo conocimiento de los siguientes extremos: 1. Con fecha 12 de julio de 2018, se recibe escrito del Servicio Andaluz de Salud, en el que se pone de manifiesto que: 1.1. El procedimiento establecido para el traslado de historias clínicas en papel desde el archivo a las diferentes consultas es el siguiente: Tiene que existir una solicitud de historia clínica originada desde un servicio clínico. Para su traslado a los diferentes servicios se utiliza: Montacargas que comunica con las secretarías de los mismos, o carros de transporte a las consultas externas. Los profesionales del archivo se encargan de la custodia de las historias dentro de los locales del archivo, y se aseguran de que su traslado se realice con la máxima confidencialidad, que los sobres que contienen datos en su cara externa no sean visibles. Los celadores son responsables de la custodia de la documentación que transportan. Este hecho es extensible no solo a las historias clínicas sino a toda la documentación que a diario movilizan de un servicio a otro, tanto de ámbito asistencial como administrativo. 1.2. Con relación a las medidas de seguridad establecidas, acompañan un informe del jefe de personal subalterno, en el que se explica a los celadores el procedimiento que deben seguir en la custodia de la documentación. Se adjuntan los recibís de dichas normas suscritas por los celadores. 1.3. Así mismo, se acompaña declaración de una celadora manifestando que el día que se realizó la fotografía, ella estaba repartiendo las historias y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 encontraba junto a los carros. No obstante, debieron publicar alguna fotografía realizada mientras ella hacía entrega de algunas historias. 1.4. Tras la publicación de esta noticia, se va a proceder a la utilización de carritos con cubierta rígida y opaca que impida la visión del contenido. 1.5. Así mismo, se reforzaron y recordaron las normas de no dejar los carritos sin custodia durante todo el tiempo que discurre entre salida del archivo y consulta y viceversa. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El RLOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. III El presente procedimiento trae causa de las noticias aparecidas en prensa sobre traslado de historias clínicas en el Complejo Hospitalario de Torrecárdenas (documentación en papel), mediante carritos de supermercado, que se dejan en los pasillos. El Reglamento de desarrollo de la LOPD, indica las medidas de seguridad de nivel alto aplicables a los ficheros y tratamientos no automatizados, siendo relevantes en el supuesto presente, las siguientes: <<Artículo 113 Acceso a la documentación 1. El acceso a la documentación se limitará exclusivamente al personal autorizado. 2. Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por múltiples usuarios. 3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad. Artículo 114 Traslado de documentación Siempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Analizando las medidas de seguridad existentes en el Complejo Hospitalario Torrecárdenas relativas al traslado de documentación por celadores, se aprecia que son conocidas por el personal responsable de dichos traslados; y que se eligió ese tipo de transporte por ser más amplio que los usados con anterioridad. Van a reforzar las medidas de seguridad cubriendo los carros con una tapa rígida y opaca que impida la visión del contenido y de los laterales de dichos carros. Por tanto debe concluirse que no se aprecia incumplimiento de las medidas se seguridad exigidas por la normativa referenciada por cuanto se dispone de un control y un registro de accesos a las historias clínicas y son custodiadas cuando se trasladan. Conforme a los anteriores hechos procede, en el presente caso, el archivo del presente procedimiento por no apreciarse infracción de lo dispuesto en el artículo 9 de la LOPD, en relación con los artículos 113 y 114 del RLOPD. IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a HOSPITAL DE TORRECARDENAS, SERVICIO ANDALUZ DE SALUD y DE OFICIO. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es